情報筋によると、3,800万ドルのスイープ後、Coldcardウォレットの露出はMk3を超えている

Why it matters

The suspected theft strikes at hardware wallets' core promise: users can follow the prescribed self-custody process and still lose funds if seed generation fails.

Rodolfo Novak (@nvk) と Peter Gray の Coinkite は、5年以上にわたって作成されたウォレットが露出していた可能性のあるシード生成の問題を特定した後、Coldcard Mk3 所有者に対して bitcoin を移動するよう警告しました。しかし、この事件に詳しい情報筋は RuntimeWire に対して問題は「Mk3 に限らない」と述べました。情報筋は、影響を受けた他のデバイスを特定せず、その発言がシードの欠陥、スイープされたウォレット、あるいはその両方を指しているのかも明らかにしませんでした。

この警告は、7月30日未明に約500のアドレスからおよそ594 bitcoin をまとめて移動する共同のスイープが行われたことを受けたものです。金曜日の bitcoin 相場では、その資産は約3,810万ドルの価値がありました。公開分析は、資金が約25分の間に到着し、その後ほとんどが別の場所に統合された1つの受信アドレスへの送金と関連づけました。損失を報告したウォレット所有者は、影響を受けたシードが2021年に購入した Coldcard で生成されたものだったと述べました。

Coinkite の7月30日のセキュリティ勧告は、ファームウェア 4.0.1 以降を実行する Coldcard Mk3 で生成されたシードがリスクにさらされている可能性があることを確認しています。Coinkite は、594 BTC の全てのスイープが Mk3 ウォレットから来たと断定しておらず、また約500の送信アドレスが500人の被害者を示すとも述べていません。公開された勧告では、初期分析に基づき Coldcard Mk4、Q、Mk5 デバイスは影響を受けないとしていますが、情報筋の発言によってこの結論は複雑になっています。

この区別は依然として重要です。ブロックチェーンは送金を確認しており、勧告は Mk3 のシード生成問題を確認しています。公開されている証拠だけでは、スイープ内のすべての入力が同じ欠陥に結び付いていることはまだ立証されておらず、情報筋の発言もどの追加デバイスやウォレットが関与しているかを確定していません。

セルフカストディ向けに作られたセキュリティ製品

Gray は University of Waterloo の数学・コンピュータサイエンスを卒業し、Rodolfo Novak に 2011 年にそのホワイトペーパーを読んで Bitcoin を紹介しました。2人は最初に BTC Look ブロックチェーンエクスプローラーを構築し、その後自分たちが使いたいと思えるビットコインウォレットや支払い端末を見つけられなかったことから Coinkite を立ち上げたと、2018 年の Coinkite プロファイル は伝えています。

Novak は Method:CRM や金融データ提供者 Quandl での勤務経験があるプロダクトデザイナーで、Coldcard を既存のハードウェアウォレットへの不満から生まれた製品だと説明しています。Coinkite は 2018 年ごろに Bitcoin 専用デバイスを発売し、オフラインでの鍵保管、エアギャップでのトランザクション署名、公開検査可能なファームウェアを中心に訴求してきました。

このインシデントはその中核的な約束を損なうものです。Coldcard ユーザーはプライベートキーをインターネット接続されたデバイスから切り離し、取引所やソフトウェアウォレット提供者への依存を避けるために専用ハードウェアを選びました。シード生成時の失敗は、その後所有者が期待される保管方法を守っていても、セキュリティモデルの根幹にある秘密を損ないます。

Coinkite のアラートは特に、2021年3月29日にリリースされたファームウェア 4.0.1 以降を実行する Mk3 で生成されたシードに適用されます。古いシードを影響を受けるデバイスにインポートすることは、そのデバイス上でシードを生成することとは別のケースです。会社は Mk4、Q、Mk5 デバイスは影響を受けないと述べていますが、情報筋の発言は今回の広範な事件が勧告で説明された Mk3 の欠陥を越えている可能性を残しています。

予測可能なフォールバックがMk3の探索空間を狭めた

Coinkite の勧告は技術的メカニズムを詳述していませんが、Block のエンジニアリング分析は予測可能な乱数生成器のフォールバックと 32 ビットに限定されたリシード経路を特定しています。フォールバックを引き起こした条件下では、ファームウェアは適切に生成された BIP-39 シードから期待されるものよりもはるかに小さい候補集合からウォレットシードを生成する可能性がありました。

32 ビットの探索空間には約43億の可能な値があります。手動で推測するには大きいですが、セキュアなウォレットエントロピーから期待される実効探索空間と比較すると系統的に列挙可能な規模です。フォールバック動作を再現できる攻撃者は候補ウォレットを生成し、そのアドレスを監視して一致を見つけた後に資金を移動させることができます。

この分析は Mk3 ファームウェアの欠陥からウォレット妥協へのもっともらしい経路を提供しますが、それだけで 594 BTC のスイープ内のすべての入力を同じ攻撃者が支配していたことを証明するものではありません。また、影響を受けたデバイスがどの程度の頻度でフォールバック経路に入っていたかや、他のデバイスがどのように関与している可能性があるかも説明していません。

勧告はバージョンの不一致を残す

Coinkite の勧告はこの問題がファームウェア 5.0.3 にまで及ぶと述べ、そのバージョンを Mk3 の最終リリースと説明しています。一方で Coinkite 自身のMk3 ファームウェア・アーカイブは、2023年6月26日にリリースされたバージョン 4.1.9 を Mk3 と Mk2 の最終リリースとして一覧しています。より広いファームウェアアーカイブでは 5.0.3 を Mk4 のリリースとしてリストしています。

したがって Mk3 ユーザーはバージョン番号の不一致にかかわらず、勧告のより広い指示に従うべきです：バージョン 4.0.1 以降を実行する Mk3 上で生成されたシードは、バージョン番号の相違に関係なく露出していると見なして扱ってください。情報筋の発言は、その指示を特定の追加モデルに拡張するのに十分な詳細を提供していません。

Coinkite は強力な BIP-39 パスフレーズで保護されたウォレットはこの問題によるリスクが最小限であると述べています。その保護はデバイスの PIN ではなくシードに付加される別個のパスフレーズを指します。パスフレーズはシード語だけからは導出できない別のウォレットを作成します。

別のデバイスを持たないユーザーに対して Coinkite は、長くユニークなパスフレーズで保護された新しいウォレットに資金を一時的に移すことを推奨しています。Coinkite はまた、デバイスの通常の乱数生成器を回避する Mk3 ファームウェア 4.1.9 上で少なくとも99回の物理的なサイコロ振りを用いる高度なオプションを文書化しています。より安全な方法は、影響を受けていないデバイスで新しいシードを作成し、受信アドレスをその画面で確認して小額のテストトランザクション後に資金を移すことです。

確定した Bitcoin トランザクションにはそれを取り消す管理者はいません。盗まれた資金は追跡され、識別可能なサービスに到達すれば押収される可能性がありますが、被害者は Coinkite を通じて送金をキャンセルしたり残高を復元したりすることはできません。

Coldcard のソースコードと再現可能なビルドは、製品をクローズドファームウェアよりも検査しやすくしていました。Coinkite 自身も公開コードが製品に欠陥がないことを証明するものではないと認めています。このインシデントはその但し書きに測定可能なコストをもたらしました：所有者以外の誰にも依存しない設計のセキュリティ製品を悪用したと疑われる約3,810万ドルの送金です。