Coldcardのセキュリティインシデントは、史上最大規模の自己管理型ビットコイン盗難事件の犯人に対し、ビットコインの公開取引を通じて資金洗浄サービスが提供されたことを受け、新たな局面を迎えました。一方、ユーザーからは、緊急のファームウェア更新により一部のハードウェアウォレットが使用不能になったとの報告も寄せられています。
Coldcardのハッカーが、オンチェーン上で大胆なビットコインの資金洗浄の提案を受けました。
共有
主なポイント：
- 8月2日までの新たな攻撃の波により、Coinkiteからの盗難総額は1,359.8820 BTCに達しました。
- 8月1日には、OP_RETURNを介してColdcardのハッカーに対し、盗難資金の10％を報酬とする資金洗浄のオファーが提示されました。
- ファームウェアの故障報告が続く中、ColdcardユーザーはCoinkiteからの指針を待っています。
これらの新たな展開は、Coinkiteが長らく放置されていたファームウェアの脆弱性を攻撃者が悪用し、脆弱なウォレットシードを復元してシングルシグネチャウォレットから体系的に資金を流出させていたことを明らかにしてからわずか数日後の出来事です。 Coldcard Sweep Watchダッシュボードが収集した統計によると、推定総額は現在約1,359.8820 BTCにまで膨れ上がっており、特定されたコインの大部分は攻撃者が管理する少数のアドレスに残っています。
OP_RETURNがビットコインブロックチェーンを公共の掲示板に変える
8月1日、攻撃者が保有するアドレスの1つに、OP_RETURNメッセージを含む異例の取引が送信されました。OP_RETURNとは、使用可能な資金を転送するのではなくブロックチェーン上に永続的なテキストを保存する、ビットコインの特殊な取引出力です。
メッセージには、ビットコインの「洗浄」、本人確認（KYC）支援、盗まれたコインを10％の手数料で現金化するサービスが公然と宣伝され、Telegramの連絡先も記載されていました。これは技術的なメッセージでも被害者からの訴えでもありませんでした。 むしろ、盗まれたビットコインを管理している人物を直接狙った勧誘のように見えました。法執行機関か、あるいは罠を仕掛けている人物ではないかと指摘する声もあります。
攻撃後も、盗まれたビットコインの大部分は目立つ場所に放置されたまま
盗難されたビットコインは1,300BTC以上に上りますが、ブロックチェーン研究者によると、その大部分は依然としてほとんど手つかずのままです。攻撃者は7月30日から数回にわたり、組織的な攻撃で脆弱なウォレットを一掃した後、資金を比較的少数のアドレスに集約しました。
この可視性は、本件における特に異例な側面の一つとなっています。ビットコインの透明性の高い台帳により、誰でも高額なアドレスを監視できるため、被害者、捜査官、研究者、さらには機会主義者までもが、同じ取引の展開をリアルタイムで観察できます。OP_RETURNメッセージは、重大な事件発生時にブロックチェーンが恒久的な公開メッセージシステムとしても機能し得ることを示しています。
過去にハッキング被害に遭ったいくつかのプロジェクトでは、OP_RETURNメッセージを用いてハッカーと報奨金や要求について交渉しています。
緊急のファームウェア修正が新たな頭痛の種を生む
ユーザーが残りの資金を保護しようと急ぐ中、別の問題が発生しました。 Coinkite社は、当初の脆弱性の原因となった不十分な乱数生成を解消するための緊急ファームウェアアップデートをリリースしました。同社は、新しいファームウェアが将来作成されるウォレットのみを保護し、脆弱なバージョンで既に生成されたシードを修復するものではないことを明確にしました。
リリース直後、ユーザーからはアップデートをインストールした後に一部の端末がエラー画面で固まったり、起動に失敗したり、完全に動作不能になったりするとの報告が相次ぎました。報告の多くはMk4およびQ端末に関するものですが、一部のMk3ユーザーからも同様の問題が報告されています。 8月2日時点でCoinkiteは広範囲にわたるファームウェアの欠陥を公式に確認していませんが、複数のユーザーからの報告によりビットコインコミュニティ全体で懸念が高まっています。
セキュリティ専門家はユーザーに「まず資金を移動させる」よう呼びかけ
経験豊富なビットコインセキュリティの専門家の間で広まっている最も強いメッセージの一つは、脆弱性の可能性があるウォレットの所有者は、可能な限りファームウェアを更新する前に資金を移行すべきだということです。 この推奨事項は、緊急パッチの重要な限界を反映しています。ソフトウェアを更新しても、数年前に作成された脆弱なシードを強化することはできません。 元のウォレットが不十分なランダム性で生成されていた場合、唯一の恒久的な解決策は、強力なエントロピーを用いて作成された全く新しいウォレットに資金を移すことです。多くのユーザーにとって、検証済みのシードバックアップは、ハードウェアの故障と資金の永久的な損失を分ける鍵となっています。なぜなら、破損したデバイスは多くの場合交換可能であり、リカバリーフレーズがあれば資金へのアクセスを回復できるからです。
信頼が最大の試練に直面
現在進行中のColdcard事件は、単なるファームウェアの欠陥にとどまらず、ハードウェアウォレットのセキュリティに対する信頼を問うより広範な試練へと発展しています。 歴史的なエントロピー不足のバグ、ビットコインブロックチェーン上に直接埋め込まれた公然とした資金洗浄の勧誘、さらに緊急アップデートによって一部のデバイスが使用不能になる可能性があるという報告が相まって、ウォレットの設計、シードの生成、長期的な自己管理の実践をめぐる議論が激化しています。
既知の攻撃者アドレスの監視が続く中、ユーザーは現在、盗まれたビットコインが最終的に移動するかどうか、そしてCoinkiteがファームウェアの不具合に直面している顧客に対して追加のガイダンスを発表するかどうかの二つの動向を同様に注視しています。
この記事はAIを使用して英語から翻訳されました。英語の原文が正式な情報源であり、自動翻訳には、特に法律および規制に関する用語において不正確な部分が含まれる場合があります。
