Coldcardのセキュリティ脆弱性により、7110万ドル相当の1,128 BTCが漏洩した可能性

5年間存在していたColdcardのソフトウェアの欠陥により、攻撃者が秘密鍵を再構築し、1,100ビットコイン以上を盗み取ることが可能だった可能性があり、このウォレットのメイカーは、この発見の一部を人工知能（AI）に起因すると指摘した。

7月30日、約594 BTC（当時約3800万ドル相当）が約500のシングルシグネチャBitcoinアドレスから移動した後、この出来事は公にされた。ニュースが最初に報じられたとき、Bitcoin.com Newsは、これらの振替が約25分以内に発生し、共通の技術的脆弱性を持つウォレットを標的にしているように見えたと指摘した。

後のブロックチェーンのレビューにより、盗難の規模が拡大したと判明した。研究者らは、約41分の間に1,082〜1,196のアドレスが影響を受けたと推定した。custom dashboard called Coldcard Sweep Watchはその後、合計を1,128.4717 BTC、Bitcoinが約63,044ドルで取引されていた当時の価値で約7,110万ドルと算出した。

資金の大部分は、数百のBitcoinを保有するアドレスに統合され、その大部分はほぼ動いていませんでした。影響を受けたアドレスには、重要な共通点がありました。それらの回復シードは、カナダの企業Coinkiteが製造したColdcardハードウェールウォレットで作成されていたことです。

リカバリーシードは、仮想通貨ウォレットへのアクセスを制御する単語のリストです。このシードを再構築または取得できる人は、物理的なデバイスを所有していなくても、通常、ウォレットの資金を移動できます。

Coinkite は、Coldcardデバイスで生成された一部のシードが弱い可能性があるという緊急アドバイザリーを発行しました。2021年3月頃にリリースされたファームウェアバージョン4.0.1を実行するMk3デバイスおよびその後のバージョンが、最も高いリスクにさらされていました。

さらに詳しい分析により、Coinkiteが緊急ファームウェアの修正をリリースする前に作成された一部のMk4、Mk5、Qデバイスのシードが懸念対象であることが判明しました。Tapsigner、Opendime、Satscardの製品は異なるソフトウェアを使用しているため、影響を受けなかったと報告されています。

この欠陥は、ランダムデータを生成するプロセスに関係していました。セキュアなウォレットは、回復シードが推測されないように高品質なランダム性に依存しています。最も深刻な影響を受けたMk3デバイスでは、研究者らは、意図された128ビットではなく、シードに約40ビットの有効なランダム性しか含まれていないと推定しました。

その差は重要です。適切に生成された128ビットのシードは、ブルートフォース攻撃によって推測することは実質的に不可能とされています。一方、40ビットのシードは可能性が劇的に少なく、十分なコンピューティングパワーを持つ攻撃者がオフラインで潜在的なシードを試し、生成されたアドレスを公開のBitcoinブロックチェーンと比較することが可能になります。

一部の新しいデバイスでは、セキュアなハードウェアが予測不可能なデータの追加層を提供したため、約72ビットの有効なランダム性が得られた可能性があります。これにより、シードの再構築が難しくなりますが、依然として意図された強度よりはるかに弱いままです。

この問題は、類似した機能を担う2つのソフトウェア関数に関するビルド時設定ミスから始まりました。一方の関数はデバイスのハードウェアベースの真の乱数発生器を使用しましたが、もう一方はMicroPythonから継承された弱いソフトウェアプロセスに依存していました。

CoinkiteはMicroPythonオプションを無効化することを意図していました。しかし、ソフトウェアのチェックは、設定ラベルの値がゼロに設定されているかではなく、ラベルが定義されているかどうかのみを確認していました。その結果、完成したファームウェアは静かに弱い機能を選択してしまう可能性がありました。

二つの機能のフォーマットが一致していたため、ソフトウェアは明確なエラーを生まずにコンパイルと実行を継続しました。このミスは2021年のソフトウェア移行時にコードに導入され、公開されているファームウェアに5年以上残っていました。

現在デバイスを更新しても、不具合のあるソフトウェアで生成されたシードを強化することはできません。影響を受けるユーザーは、修正されたファームウェアまたは他の安全なデバイスを使用して完全に新しいシードを作成し、その新しいシードが制御するアドレスに資金を移動する必要があります。

シードを作成中に少なくとも50回の独立したダイスロールを追加したユーザーは、十分な追加のランダム性を提供して脆弱性を回避できた可能性があります。強力なBIP-39パスフレーズも復元をより困難にした可能性があり、複数の独立したデバイスからの署名を必要とするウォレットは、1つの compromized シードだけで資金を移動することを防ぐことができました。

CoinkiteのCEOであるロドルフォ・ノバックは公に謝罪し、同社がファームウェアの不具合について完全な責任を負うと述べました。彼は、チームが修正ソフトウェア、技術レポート、および影響を受けたユーザーへのサポートの準備を進めていると語りました。

CoinkiteとNovakは、この欠陥がどのように発見されたかについて、印象的な理論を提唱した。ファームウェアが数年間公開されていたため、同社は誰かがAIを使って古いバージョンのコードを分析し、弱いランダム性の経路を特定した可能性があると考えている。

「他のすべての開発者へ：これは新しいAIパラダイムにおける冷静な現実だと私たちは信じています。AI支援によるコードレビューは、業界で最も経験豊富な専門家をも上回る速度で潜在的なバグを発見できるようになりました。」ノバクはXに掲載された謝罪投稿で書いた。「あなたのファームウェアがオープンソースであるか、かつて公開されたことがあるなら、すでに攻撃者と防御者双方に読み込まれていると仮定してください。」

今日の現代的なAIコーディングシステムは大規模なソフトウェアリポジトリを処理し、設定設定、関数、セキュリティ仮定の間の疑わしい関係を特定できます。攻撃者は、このようなシステムに弱い乱数生成器、フォールバック関数、または暗号鍵に影響を与えるエラーを特定するよう指示できます。

独立の研究者たちは、基盤となるランダム性の問題が判明した後、AIモデルを使用してその問題を特定または説明した。これはAI支援によるコード分析がいかに容易になったかを示したが、元の攻撃者がAIを使用したことを証明したものではない。

Coinkiteは、自社のレビューにおいて最先端のAIモデルを使用したが、盗難前にこの欠陥を発見できなかった。この結果は、AIシステムがすべての深刻な欠陥を自動的に見つけられるわけではないことを示している。その性能は、受け取る指示、提供されたコードの数量、および人間のレビュー担当者が警告サインを理解しているかどうかに依存する可能性がある。

一部のセキュリティ専門家は、人工知能（AI）のリスクに過度に注目することが、基本的なエンジニアリングの失敗から目を背けさせる可能性があると主張している。多くの人々は、この設定ミスが既知の種類のソフトウェアエラーであり、シード生成に焦点を当てた従来のコードレビュー、テスト手順、または監査が数年前にこれを検出できたはずだと考えている。

対立する見解は必ずしも互いに矛盾しない。人為的エラーが脆弱性を生み出し、その状態が継続する原因となった一方で、AIはその脆弱性を発見したり理解したり、悪用したりするコストを低下させた可能性がある。防御側はあらゆる危険な弱点を特定しなければならないが、攻撃側はただ一つの弱点を見つければよい。

この出来事は、オープンソースセキュリティに関する前提にも挑戦している。公開されたコードは、独立した専門家がソフトウェアを検査できるようにするが、単に利用可能であるだけでは、誰かが正しい部分を確認し、微妙な欠陥を認識して、攻撃者が行動する前に報告するとは限らない。

Coldcardユーザーの場合、即時の優先事項はシードがいつ、どのように作成されたかを特定することです。影響を受けたシードを持つすべてのユーザーは、公式Coinkiteチャネルを通じて指示を確認し、修正済みファームウェアをインストールし、新しいシードを作成して、フィッシング試行や偽のサポートメッセージに注意しながら資金を移動してください。

長期的な疑問は、どのくらいのBitcoinが奪われたか、調査官が攻撃者を特定できるか、そしてAIが脆弱性の発見に決定的な役割を果たしたかに集中する。ハードウェアウォレット企業は、エントロピー検証の強化、ビルド構成の監査、そして人間の専門家と敵対的AIツールを用いた旧コードの継続的な検査という圧力に直面する。