ビットコインのレッドチームは、Coldcardハッキング事件を受けて4,962件の脆弱性を発見しました。

Coldcardの脆弱性に対する対応

Coldcardハードウェアウォレットの脆弱性は、2021年3月に遡るファームウェアのバグを悪用し、長期保有者からビットコイン（BTC）を流出させました。5,200以上のアドレスから1,800 BTC以上が盗まれ、損失額は1億1,600万ドルを超えています。

この事件をきっかけに、BTC開発者のCalle氏と自己管理型ウォレット向け保険会社AnchorwatchのCEOであるRob Hamilton氏が率いるボランティア活動「Bitcoin Red Team」が立ち上がりました。彼らは、Coldcardユーザーを被害に遭わせたものと同様の脆弱性が、他の広く使用されているウォレットやコードライブラリにも存在するかどうかを検証するため、ビットコインのオープンソースエコシステム全体を対象とした緊急監査を開始しました。

16人のセキュリティ研究者が27.5時間をかけて390のビットコインオープンソースリポジトリを精査し、人工知能（AI）を活用した分析と手動レビューを組み合わせました。 チームは合計4,962件のセキュリティ上の問題点を報告し、そのうち85件が「重大」、635件が「高深刻度」と分類された（研究者1人あたり1時間あたり平均2.31件の「高深刻度」または「重大」な問題点が発見された計算になる）。

このスプリントの資金は、オープンソースのビットコイン開発を支援する非営利団体「Opensats」が提供し、同団体は研究者らの活動を支援するために4万ドル近くを拠出しました。Calle氏は、エコシステムのセキュリティ状況を「極めて悪い」と評価しました。

監査の経過をリアルタイムで追跡していたアナリストたちは、これまでのところ、発見された問題の約5分の1しか独立して再現されていないと指摘しました。これは、報告された問題の多くについて、開発者が実環境における深刻度を確実に判断するには、さらなる確認が必要であることを示しています。

脆弱性が集中している領域

プライバシー関連ツールやコインジョインツール（オンチェーン上のビットコイン取引の痕跡を隠蔽するために設計されたソフトウェア）は、審査対象プロジェクト全体に占める割合は小さいものの、深刻な問題の最も高い割合を占めており、重大な発見事項の24％を占めていました。 一方、暗号ライブラリは発見件数が1,101件と最も多かったものの、そのうち「重大」と評価されたのは10％にとどまり、最も厳しい精査を受けているにもかかわらずコードは全体的に成熟していることを示唆しています。

調査対象となった390のプロジェクトのほとんどには重大な問題はほとんど、あるいは全く見られなかった。真の危険は、秘密鍵の生成、署名、およびプライバシー保護取引を扱う少数のツール群に集中しているようで、これらは今回の取り組みのきっかけとなった当初のColdcardの不具合の根源となったのと同じカテゴリーのソフトウェアである。

ビットコインの自己管理文化において、過去2週間にわたりColdcardによる損失の規模が認識され続けてきたことを考えると、この問題の発見時期は重要です。盗まれた資金の約4分の1は、カナダのユーザーだけで占められています。

今後の対応を検討する必要性

Bitcoin Red Teamは、今回の監査が単発のイベントではなく、継続的な取り組みの第一段階であることを強調しています。同チームは、蓄積された調査結果を順次処理し、どの脆弱性が実際に悪用可能かを検証した上で、詳細を公表する前に影響を受けるプロジェクトと責任ある開示について調整を行う計画です。

Coldcardによる被害の規模をまだ受け止めきれていない自己管理文化にとって、この監査はホワイトハット研究者が今や攻撃者と同等のペースで動いていることを示す証拠ともなっています。