ハードウェアウォレットの脆弱性警告、594 BTC流出受け

暗号資産（仮想通貨）関連企業のコインカイトは7月30日、ハードウェアウォレットのセキュリティ警告を発表した。

コールドカードの脆弱性と対象モデル

同社が提供するColdcard（コールドカード）の特定モデルにおいて、シード生成に関する脆弱性が確認された。

対象となるのは、ファームウェアバージョン4.0.1から4.1.9を使用しているMk2およびMk3デバイスだ。これらのデバイスで生成されたシードは、エントロピーが弱く予測されやすい危険性がある。

ただし、50回以上の独立したサイコロの出目を使用してシードを作成した場合や、強力なパスフレーズで保護している場合はリスクが軽減される。

同社は、TAPSIGNER（タップサイナー）やOPENDIME（オープンダイム）などの他の製品には影響がないと説明している。

問題を解決するための修正版ファームウェアは、Mk2およびMk3向けにはバージョン4.2.0以降として提供されている。また、Mk4およびMk5向けにはバージョン5.6.0以降、Qデバイス向けにはバージョン1.5.0Q以降が必要となる。

ビットコイン流出事件と移行手順

この警告は、約500のシングルシグネチャウォレットから594.48枚のビットコイン（BTC）が短時間で不正に引き出された事件の直後に出された。

シングルシグネチャウォレットは、鍵情報が漏洩した場合に複数の署名を必要とするウォレットよりもリスクが高い。同社は流出事件と今回の脆弱性の直接的な因果関係を断定していないが、現在も調査を継続している。

利用者はファームウェアを最新版に更新するだけでは、既存のシードを保護できない。古いシードは更新後も脆弱なままであるため、新しいシードを生成して資金を安全に移行する必要がある。

Mk2やMk3の利用者でも、ファームウェアをバージョン4.2.0に更新すれば、デバイス上で新しいシードを正しく生成できる。

同社は移行の際、バックアップや受信アドレスをデバイスの画面で慎重に確認し、少額のテスト送金を行うよう推奨している。

急いで資金を移動させると新たなセキュリティリスクを生む可能性があるため、注意が必要だ。

古いシードのバックアップは、全額の移行が完全に確認できるまで手元に保管しておくことが求められる。