端末に触れずにビットコインコールドウォレットから約7,000万ドル流出、約1,200件に被害拡大

7月30日、ビットコインのコールドウォレット1,196件から合計1,000BTC超（約7,000万ドル相当）が約41分の間に引き出された。Galaxy Researchが金曜日に全体像を整理し、01:10〜01:51（UTC）の間に6ブロックで1,082.65BTCが移動したと報告した。途中の3ブロックに関連取引が見当たらないことから、取引は連続送信ではなく、複数回に分けて一括でブロードキャストされた可能性が高いという。流出分は4つのアドレスに滞留しており、現時点で移動は確認されていない。 被害額は当初報道より大きい。初期の報道では4つの受け皿のうち1つしか把握できておらず、その後の追跡で全体が判明したためだ。 今年の大型流出と比べれば規模は限定的だが、注目点は手口にある。一般的な暗号資産の盗難は、取引所侵害、コントラクト悪用、フィッシングなど、何らかの対象に"到達"することが前提となる。ハードウェアウォレットが売りにしてきた防御は、秘密鍵をネット非接続の端末内に隔離し、攻撃者が触れられない距離を確保することだった。今回のケースは、その前提を崩す。 ウォレット作成時、端末は推測不可能な巨大な乱数（シード）を生成し、公開された規則に従ってアドレスや秘密鍵が導出される。Coldcardでは本来、専用のハードウェア乱数生成器からシードを得る設計だった。ところが内部ビルド設定により当該生成器をスキップする挙動になり、補助ライブラリ側のチェックも"設定が存在するか"だけを見て有効化の有無を検証していなかったという。その結果、鍵生成はソフトウェアの代替経路にフォールバックし、チップのシリアル番号とクロックレジスタを種にしてしまった。 シリアル番号は工場出荷時に固定されたメタデータで、クロック値は攻撃者が自分の端末で計測・推定して範囲を絞り込める。これにより、端末が生成し得る鍵空間は天文学的な広さから"数え上げ可能"な範囲に縮小した。セキュリティチームは、旧モデルのMk2とMk3（Coldcardのモデル名）では鍵生成が特定可能だったとし、Mk4、Q、Mk5については候補が約40億通り程度にまで落ちると評価した。40億は人間には大きいが、計算機には小さい。 攻撃者は自前のハードウェアで候補シードを生成し、そこから導出されるアドレスを計算、誰でも入手できる公開ブロックチェーンと照合するだけでよい。被害者側の端末は一切関与せず、電源が切られ金庫に保管されていても攻撃は成立する。 Galaxyの解析では、引き出されたウォレットのうち1,183件がネイティブSegWit形式、7件が旧来の標準形式、6件がさらに古い形式だった。3種類のアドレス形式をまたいで特定の個人を狙い撃ちする合理性は乏しく、候補シードを系統的に列挙し、生成し得るパスを網羅的に照合した動きと整合的だという。攻撃者は探索範囲を広げたり絞ったりしながら、任意のタイミングで再開できる。Galaxyは、資金を移さない所有者がいれば追加の流出波が起きる可能性が高いと警告した。 厄介なのは、所有者自身が"自分は影響範囲か"を確定できない点だ。手元のウォレットに対して、シードが再現可能な範囲に含まれるかを判定するテスト手段はないとされる。ColdcardのメーカーであるCoinkiteはMk3所有者に警告し、新しい端末は影響を受けないとしている。一方、Blockの報告ではMk2、Mk4、Q、Mk5も対象に含まれる可能性が示されている。整理がつくまで、該当ファームウェア上でシードを生成した利用者は、確認よりも最悪を前提に対応せざるを得ない。 攻撃者側にも綻びがあった。BlockのClay Garrett氏はXで、引き出し実行時に"著名なブロックチェーンデータ提供会社"の有料アカウントを使い、流出元アドレスを照会していたと指摘。同社の内部ログが、リクエストの回数、タイミング、順序に至るまで、想定される手順と極めて一致したという。当該プロバイダーは、目的が不正と分からない通常の問い合わせに対して標準サービスを提供していたとみられ、Blockは当局へ情報提供したとしている。 コールドストレージは"鍵は推測できない"ことを約束する。市場はそれを"鍵に到達できない"約束として受け取ってきたが、前者（推測困難性）を崩す欠陥を見つけて突くコストは低下し続けている。Anthropicは火曜日、同社モデルが候補の耐量子暗号アルゴリズムの安全性を60時間で半減させたとする研究を公表した。2年間の専門家レビューを経た設計に対する結果だ。秘密鍵を"保管する"ことは、いまや問題の半分に過ぎないという現実が浮き彫りになっている。