ビットコインハードウェアウォレットの老舗メーカーであるCoinkiteが、Coldcard Mk3ユーザーに対して資金の移行を促す警告を発した。特定のファームウェアで生成されたシードフレーズにリスクがある可能性が指摘されている。
この警告と並行して、594.48 BTC（約3,830万ドル相当）が単一署名アドレスから不可解な形で一掃される事案が発生し、セキュリティ専門家らが調査に乗り出している。現時点で両者の因果関係は確認されていないが、ハードウェアウォレットの安全性を再考する契機となっている。
Coldcard Mk3の何が問題なのか
Coinkiteが7月30日に公開した公式ブログによると、問題となるのはColdcard Mk3上で動作する特定のファームウェアで生成されたシードフレーズだ。シードフレーズとは、ビットコインウォレットの秘密鍵の元になる12〜24個の英単語のこと。この単語列があれば、誰でもそのウォレットの全資金を操作できてしまう。
リスクが指摘されているのは、2021年3月リリースのファームウェアバージョン4.0.1以降、最終バージョンである5.0.3までの全バージョンだ。一方、後継機種のMk4、Q、Mk5はこの影響を受けないと、Coinkiteの初期分析ではされている。
BIP-39パスフレーズを使っていればリスクは低い
Coinkiteは初期分析の中で、重要な例外にも言及している。シードフレーズに加えてBIP-39パスフレーズを設定していた場合、リスクは最小限にとどまるという。BIP-39パスフレーズとは、シードフレーズに加えてユーザーが任意で設定する追加の文字列だ。いわば「二重の鍵」のようなもので、たとえシードフレーズが漏洩しても、パスフレーズが分からなければ資金にはアクセスできない仕組みになっている。
ただし同社は、ここでいうパスフレーズはColdcardのPINコードとは別物だと強調している。PINは端末のロック解除に使うもので、秘密鍵の生成プロセスには関与しないからだ。
ユーザーが今すぐ取るべき対応
Coinkiteは「過剰なほどの注意」として、影響を受ける可能性のあるユーザーに次の手順を推奨している。
- 影響を受けない別のデバイスで新たなシードフレーズを生成する
- バックアップと受信アドレスを正確に確認する
- 少額のテスト送金を実行し、問題なく着金することを確かめる
- テストが成功した後に、残りの資金をすべて移す
同社は調査を継続中であり、正式な技術レビューを後日公開すると明らかにしている。現段階では予防的措置としての呼びかけであり、問題の全容が解明されたわけではない点に注意が必要だ。
594BTCが不正流出、何が起きたのか
この警告が発せられるきっかけの一つとなったのが、Reddit上での報告だ。あるユーザーが、2021年5月に購入したColdcard Mk3で生成したシードフレーズを使って管理していたウォレットから、資金が抜き取られたと投稿した。
投稿によれば、そのシードフレーズは2026年1月にColdcard Mk4へ復元されており、結果として2台目のデバイスにも入力されたことになる。ただしこれはあくまで自己申告であり、Coldcardと大規模流出との因果関係を証明するものではない。
ビットコインセキュリティ企業AnchorWatchのCEO兼共同創業者であるRob Hamilton氏が7月31日に公開した予備分析では、わずか3ブロックの間に500件のトランザクションが実行され、1,324個の未使用トランザクション出力（UTXO）が一掃されたとされている。
流出総額は594.48 BTC。記事執筆時点のビットコイン価格（約64,300ドル）で換算すると、およそ3,830万ドルに相当する。Hamilton氏は、そのうち562 BTCが後に別のアドレスへ集約されたと指摘し、「一見したところ、ウォレット生成時のエントロピー（乱数の質）に欠陥があったようだ」と述べている。
単一署名アドレスが狙われた理由
注目すべきは、攻撃対象となったアドレスがすべて単一署名形式だった点だ。単一署名とは、1つの秘密鍵だけで取引に署名できる方式を指す。対してマルチシグ（複数署名）は、複数の鍵のうち一定数の承認がないと取引を実行できない仕組みで、単一障害点を持たない。
Hamilton氏の指摘どおり、もしシード生成時の乱数に偏りがあれば、攻撃者は理論的に同じ脆弱な鍵を再計算できる。単一署名であれば、その1つの鍵を特定するだけで資金の全額にアクセスできてしまう。
低エントロピー仮説、専門家の見立ては
ビットコインセキュリティ企業WizardsardineのCEO、Kevin Loaec氏は7月31日、X上で現時点の仮説を公開した。それによると、乱数生成器（RNG）のエントロピー不足が根本原因である可能性が高いという。
エントロピーとは、簡単に言えば「予測不能さ」のことだ。質の高い乱数とは、誰にも推測できない数字の並びを指す。逆にエントロピーが不足していると、生成されるパターンに偏りが生まれ、第三者に予測される余地が生まれてしまう。
Loaec氏は、原因となり得る要素として、特定のソフトウェアライブラリ、セキュアエレメント（耐タンパー性を持つ専用チップ）、あるいは特定のデバイス製造ロットやファームウェアバージョンを挙げている。つまり、問題はColdcard固有というより、部品やソフトウェアの組み合わせに潜んでいる可能性もあるわけだ。
AIがブルートフォース攻撃を加速させた可能性
Loaec氏の仮説で特に不気味なのは、攻撃者がAI生成スクリプトを使ってブルートフォース攻撃（総当たりによる鍵の割り出し）を仕掛けた可能性だ。ただし、探索範囲はBIP-84導出パスに限定されていたという。
BIP-84とは、ビットコインのアドレス生成ルールの一種で、ネイティブSegWitアドレス（bc1から始まるアドレス）に対応する。この範囲に探索が集中していたことで、今回の攻撃がネイティブSegWitアドレスに偏り、一部のウォレットでは部分的な流出にとどまった理由が説明できるかもしれない。ただしLoaec氏自身、この理論はいまだ確認されていないと強調している。
残高が残っているウォレットも油断できない
仮説が正しければ、部分的にしか流出しなかったウォレットにも危険が残る。Loaec氏は、攻撃者が探索範囲を他のアドレスタイプに拡大した場合、別の形式で保有されている資金も危険にさらされる可能性があると警告している。
つまり「一部だけ抜かれたから大丈夫」とは言い切れず、該当するウォレットの資金は全面的に移し替えるのが賢明だ。
ハードウェアウォレットをどう選び、どう使うか
今回の事案は、ハードウェアウォレットの根本的な信頼性に再考を迫るものだ。ハードウェアウォレットは、インターネットから隔離された環境で秘密鍵を管理する専用端末であり、ソフトウェアウォレットよりも格段に安全とされる。しかし、その土台となる乱数生成に問題があれば、どんなに堅牢な筐体も無力になってしまう。
シードフレーズ生成時の確認ポイント
一般のユーザーが乱数生成器の質を直接検証するのは難しい。とはいえ、いくつかの予防策は存在する。
- 最新ファームウェアが適用されているか確認する
- 可能であれば、複数のデバイスでシードを生成し、同一でないことを確認する
- BIP-39パスフレーズを必ず設定し、シードフレーズ単体では資金にアクセスできない状態にする
- 大規模な資金はマルチシグ構成で管理し、単一障害点を排除する
特にパスフレーズの追加は、今回のCoinkiteの見解でも「リスクを最小限に抑える」と明言されており、手間に対して得られる安全余裕は大きい。
マルチシグの重要性が再浮上
今回の594BTC流出は、すべて単一署名アドレスが対象だった。複数のデバイスや異なるメーカーのウォレットを組み合わせたマルチシグ構成であれば、仮に1つの鍵に脆弱性があっても、他の鍵がそれを補う形で防御できる。
手間やコストは増すが、大口の保有者にとっては検討すべき選択肢として、あらためて注目されている。
この記事のポイント
- Coldcard Mk3のFW 4.0.1〜5.0.3で生成したシードにリスクの可能性、Mk4以降は影響なし
- 594.48 BTC（約3,830万ドル）が単一署名アドレスから不正流出、因果関係は未確認
- エントロピー不足が原因との仮説、AIによるブルートフォース攻撃の可能性も指摘
- BIP-39パスフレーズの設定でリスクは大幅に低減、マルチシグ構成も有効な防御策
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。