ZachXBT、8,800万ドルのColdcardハッキング事件の追跡を拒否

ZachXBT氏、「支援する義務は少ない」と発言

暗号資産界で大規模な盗難事件の背後にいるハッカーの正体を暴いてきたことで知られる多作なオンチェーン調査員は、Xへの投稿で、現時点ではColdcard事件を監視または追跡する計画はないと述べました。 彼は、自分の時間を自分の活動を評価してくれるエコシステムに注力していると述べ、ビットコイン・マキシマリストたちは自身の調査への寄付者や支援者ではないため、彼らを支援する義務は少ないと付け加えました。

この発言は、Coldcardの侵害事件が5日目を迎え、被害総額が上昇し続けている中でなされました。ZachXBTはこれまでにも主要な事件を無償で手がけてきましたが、今回の投稿からは、ビットコインコミュニティが彼に対して示してきた善意と、問題が発生した際に彼に求められる努力との間に大きな隔たりがあることがうかがえます。

これまでのColdcard侵害事件の経緯

この脆弱性は、カナダのメーカーCoinkiteが製造したハードウェアウォレットのファームウェアの欠陥に起因します。 このバグはバージョン4.0.1から4.1.9を実行中のColdcard Mk3デバイスに影響し、一部のウォレットではハードウェアの専用チップではなくソフトウェアの乱数生成器を通じてシードのエントロピーが生成されるという問題が生じました。その結果、特定のシードが推測可能になってしまいました。

第1波は7月30日に発生し、当時約3,800万ドル相当の約594 BTCが、30分足らずの間に500件近くの休眠アドレスから流出しました。 Coinkiteは2日以内に修正ファームウェアを公開しましたが、被害は拡大し続け、8月2日までにGalaxy Researchの集計によると、3回の別々の攻撃波を通じて4,585のアドレスから計1,367 BTC（当時8,860万ドル相当）が流出していました。

この窃取のスピードと正確さから、AIを活用した自動化ツールが攻撃者に脆弱なアドレスを数分以内に特定させ、資金を引き出すのを支援したのではないかという憶測が広がりました。盗まれた資金の取引所への入金が急増し、この事件に関連する以前休眠状態だった古いBTCが再び動き出したにもかかわらず、窃取額は膨れ上がり続けました。

データ保持が批判をさらに招く

Coinkiteの事後対応も物議を醸しています。同社は、ストアやニュースレターの記録から入手可能なすべての顧客アドレス（一部は2019年まで遡るものも含む）にメールを送信し、このバグについて警告しました。

これは、Coinkiteが購入から90日後に顧客データを消去し、匿名での購入オプションを提供しているという、CEOのロドルフォ・ノヴァク氏による以前の主張と矛盾するものでした。Coinkiteはその後、購入時のメールアドレスを無期限に保持していることを認め、そのデータに関する削除ポリシーがないことを明らかにしました。この開示は、ハッキング自体とは別に、新たな批判の波を招きました。

ノヴァク氏は、競合他社も定期的に情報漏洩に直面していることや、Coinkiteがこの問題を極めて深刻に受け止めていることを指摘し、同社の全体的なセキュリティ実績を擁護しました。それでも、この一件はすでに自己管理型ウォレットへの信頼を損ない始めており、より慎重な投資家を、自身の鍵を管理する代わりに、取引所上場投資信託（ETF）へと押し戻す可能性があります。

この騒動は盗難事件を超え、オンチェーン上のドラマへと波及しました。ハッカーを標的とした露骨なビットコイン資金洗浄の提案がビットコインのブロックチェーン上に直接投稿され、事件はソーシャルメディアやオンチェーンデータ上でリアルタイムに展開される公のスペクタクルへと変貌しました。

ZachXBTのような重鎮が距離を置く中、盗まれた1,367 BTCの追跡という重責は、攻撃者のウォレットの動向に合わせて段階的に最新情報を公開し続けているGalaxy Researchのような企業により大きくのしかかっています。 Coldcard Mk3デバイスに影響を及ぼしているエントロピーのバグは、2021年3月のファームウェアビルドに遡るという報告が浮上しています。これは、4年以上にわたりそのバージョンで生成されたウォレットのシードは、所有者がパッチ適用済みのファームウェアで新しいシードに切り替えるまで、依然として危険にさらされている可能性があることを意味します。