老舗ウォレットのコインカイトに脆弱性、594BTCのビットコイン流出か

この記事のポイント

コインカイトに重大な脆弱性か

ビットコイン専用のハードウェアウォレットを手がける老舗のコインカイト（Coinkite）は、自社製ハードウェアウォレット「Coldcard」の旧型モデル「Mk3」において、ファームウェア4.0.1（2021年3月配信）以降で生成したシードが資金流出のリスクにさらされている可能性があると発表した。

同社によると、Mk4・Mk5はv5.6.0より前、Qはv1.5.0Qより前のファームウェアで生成したシードも影響を受けるという。深刻度はMk3より低いとしているが、対象は現行モデルにも及ぶ。

この発表と前後して、単一署名（シングルシグ）の約500件のアドレスから594.48BTC（当時のレートで約3830万ドル）が流出する事案が判明した。

オンチェーン分析を手がけるアンカーウォッチ（AnchorWatch）のロブ・ハミルトン最高経営責任者（CEO）はX（旧ツイッター）で、1,324件のUTXOが3ブロックの間に500件の取引を通じて流出し、うち562BTCが単一のアドレスに集約されたと指摘した。

ハミルトン氏は「一見して、ウォレット生成の過程でエントロピーに欠陥があったとみられる」と投稿した。コインカイトは今回の脆弱性とこの流出を直接結び付ける説明をしておらず、両者の関連は現時点で確認されていない。

*本レポートは、クリプトアナリストである仮想NISHI（@Nishi8maru）氏が、CoinPostに寄稿した記事です。クリプト市場マーケットレポート（7/31日 AM11時執筆）寄稿者：仮想NISHI仮想NISHIクリプトアナリスト。B

コインカイトによると、強固でユニークなパスフレーズを設定していた場合はリスクが低減するが、短く推測されやすいパスフレーズでは十分な保護にならないとしている。強固なパスフレーズを使っていた場合でも、早めに新しいシードへ移行するよう勧めている。

パスフレーズはCOLDCARD本体のPINコードとは別の要素で、ウェブサイトや信頼できない端末には入力しないよう注意を促している。Mk3を当面使い続ける場合は、新たなパスフレーズを設定したうえで資金を移す方法を暫定策として挙げた。

恒久対応としては、Mk4・Mk5はv5.6.0以降、Qはv1.5.0Q以降に更新したうえで新たなシードを生成し、少額の試験送金を経てから残高を移す手順を推奨する。既存のシードは更新だけでは修復できないため、早めの移行を呼びかけている。