コールドカードの欠陥放置、1億ドル規模BTC流出へ

コールドカードのシードフレーズ生成過程に存在していたコード欠陥が数年にわたり見過ごされ、約1億ドル（約147億円）規模のBTC流出被害につながったと、コインデスク（CoinDesk）が報じた。 ギャラクシーリサーチ（Galaxy Research）は、約7,300件のアドレスから1,596BTCが盗まれたと推定した。 問題の脆弱性は、2021年のファームウェア刷新の過程で発生した。コールドカード（Coldcard）は本来、ウォレット生成時に専用ハードウェアから十分な乱数を取得してシードを生成する設計だったが、設定ミスにより、予測しやすいソフトウェアベースの方式が使われていた。この結果、シード生成に必要なランダム性（エントロピー）が大幅に低下し、攻撃者が可能なシードの組み合わせを推定して秘密鍵にアクセスできたと分析されている。 特に、当該ソースコードは公開されていたにもかかわらず、検証過程で実際にシード生成にどの乱数生成器が使われているかまで確認されず、欠陥は数年にわたり発見されなかった。 コールドカードは現在、修正版ファームウェアを配布している。ただ、脆弱な旧ファームウェアで生成されたシードはアップデートだけでは保護されず、新たなシードを生成したうえでBTCを新しいアドレスへ移す必要があると案内した。