緊急セキュリティアドバイザリー — 最新のファームウェアホットフィックス以前にColdcard Mk3、Mk4、Mk5、またはQデバイスでシードを生成した場合、お持ちの資金が危険にさらされている可能性があります。詳細記事をお読みいただき、直ちに移行手順に従ってください。
何が起きたのか — 3800万ドルのオンチェーン掃除
Lookonchainは、約500のウォレットから、bc1qnk…で始まる集約アドレスへ、594.48 BTC（約3800万ドル相当）のBitcoinが、わずか数ブロックの狭い時間枠内で転送されたと報告しました。
ドレインされたウォレットの特徴は重要です：
- 主にシングル署名ウォレット—マルチシグ保護なし
- 複数のウォレットが数年間アクティブではなかったことから、この収集は最近アクティブなウォレットではなく、既存の脆弱なシードを対象としていたことが示唆される。
- 振替は、協調的かつほぼ同時のパターンで発生しました。これは、検索空間が限定された範囲内で列挙または導出可能なシードの自動的な収集と一致します。
Coinkiteは、この特定のスイープがエントロピーの欠陥によって引き起こされたことを公式に確認していませんが、アドバイザリーとオンチェーンのスイープが近い時期に発生したというタイミングと、ウォレットの特性の組み合わせにより、セキュリティ研究者は低エントロピーのシード生成の脆弱性を最も可能性の高い技術的説明として注目しています。
技術的欠陥 — Coldcardのエントロピーで何がうまくいかなかったのか
Coinkiteの技術的背景資料 — blog.coinkite.com/entropy-technical-backgrounder/
Coinkiteの技術アドバイザリーは、影響を受けるファームウェアバージョン全体で、ハードウェアの真の乱数発生器（TRNG）がシード生成に適切にランダム性を提供できなかった、複雑なバグの連鎖を明らかにしています。
核心故障：
シード生成 — Bitcoinウォレットの暗号的基盤を生成するプロセス — は、意図されたハードウェアRNGではなく、MicroPythonのソフトウェアベースの疑似乱数生成器（PRNG）に誤って依存していました。根本原因は、ハードウェアRNGパスを強制するためのビルド設定とプリプロセッサチェックが失敗していたことで、ハードウェアエントロピー源が意図通りに寄与していないにもかかわらず、ソフトウェアフォールバックがユーザーに一切の通知なしに静かに使用されていました。
セキュリティへの実際の影響：
| デバイス | 有効なセキュリティ | 意図されたセキュリティ |
|---|---|---|
| Mk3 | 約40ビット | 128ビット |
| Mk4、Mk5、Q | 約72ビット（セキュアエレメントによる部分的な改善） | 128ビット |
40ビットは、有効なシードの可能な数が約1兆であることを意味します。これは日常的な基準では非常に大きな数ですが、現代のコンピューティングハードウェアを用いる十分なリソースを持つ攻撃者にとっては達成可能な範囲です。72ビットははるかに安全ですが、見通しのある技術においてブルートフォース攻撃を計算的に不可能にする128ビット基準にはまだ大きく及びません。
40ビットまたは72ビットと128ビットの差は、些細な技術的詳細ではなく、実質的に解読不可能なシードと、十分なリソースを持つ洗練された攻撃者が実用的な時間内に列挙可能なシードとの違いです。
どのデバイスとファームウェアが影響を受けますか
Coinkiteアドバイザリー — blog.coinkite.com/coldcard-mk3-seed-generation-warning/
Mk3デバイス — 高リスク：
ファームウェア4.0.1（2021年3月リリース）から最終対応バージョン5.0.3までで生成されたシードはリスクがあると見なされます。影響を受けるファームウェアを搭載したMk3デバイスは、約40ビットの有効エントロピーを有しており、影響を受けたデバイス範囲内で最も深刻な暴露です。
Mk4、Mk5、およびQデバイス — 高リスク：
最新のホットフィックス以前のファームウェアで生成されたシードは、約72ビットのエントロピーが低下していました——Mk3より有意に改善されていますが、128ビットのセキュリティ基準には依然として大きく劣っています。
影響を受けないデバイス：
TAPSIGNER、OPENDIME、SATSCARDには影響ありません——これらは異なるコードベースを使用しており、この特定の脆弱性の対象ではありません。
リスクが低いユーザー：
シード生成中に少なくとも50回の独立したプライベートなダイスロールを追加したユーザー、または強力でユニークなBIP-39パスフレーズを使用するユーザーは、リスクが大幅に低減されます。パスフレーズはデバイスの内部エントロピーとは別に処理され、デバイスのRNGが侵害された場合でも保護を提供します。
あなたが行うべきこと—ステップバイステップの移行ガイド
Coinkiteのガイドラインは明確です：ファームウェアを更新しても、既存のシードは修復されません。シードは十分なエントロピーで生成されておらず、ファームウェアの更新ではその生成に使用されたランダム性（またはその欠如）は変わりません。唯一の解決策は、完全に新しいシードを生成し、資金を移転することです。
ステップ1 — 既存のシードを潜在的に侵害されたものとして扱う
50回以上のダイスロールと強力なパスフレーズなしで、影響を受けるデバイスとファームウェアの組み合わせでシードが生成された場合、脆弱である可能性があると仮定してください。さらに情報を待たずにすぐに行動してください。
ステップ2 — すぐに固定ファームウェアに更新してください
- Mk4およびMk5：ファームウェア5.6.0以降に更新してください
- Qモデル：ファームウェア1.5.0Q以降に更新してください
- Mk3：対応策は現在提供されていません——下記の暫定措置をご覧ください
ステップ3 — 更新されたファームウェア上で完全に新しいシードを生成する
更新されたデバイス上で、新しいシードフレーズを生成してください。既存のシードフレーズを復元しないでください。新しいシードは適切なハードウェアエントロピーを使用して生成され、この不具合の影響を受けません。
より高いセキュリティのために：新しいシードを生成する際、デバイスのハードウェアエントロピーを補完するために、少なくとも50回の独立したダイスロールを追加してください。新しいシードを、強力でユニークなBIP-39パスフレーズと組み合わせ、シードのバックアップとは別に保管してください。
ステップ4 — 新しいシードとパスフレーズを正しくバックアップする
新しいシードフレーズを紙に書き留め、安全な場所に保管してください。BIP-39パスフレーズを使用する場合、シードフレーズとは別に保管してください。どちらもウォレットにアクセスするために必要であり、どちらかを失うとアクセスできなくなります。
ステップ5 — ウォレットを確認する
送金する前に、ウォレットのフィンガープリントを確認し、少なくとも1つの受信アドレスを検証して、新しいウォレットが正しく設定されていることを確認してください。
ステップ6 — 最初に小さなテスト取引を送信してください
完全な残高を移行する前に、古いウォレットから新しいウォレットへ小さなテスト数量を送信し、正しく到着することを確認してください。その後、完全な移行を進めてください。
ステップ7 — 残りのすべての資金を移管する
古い（おそらく compromis された）ウォレットからすべての資金を新しいウォレットに振替してください。移行後は、古いシードを使用し続けないでください。
Mk3 中間対策：
Mk3が唯一利用可能なデバイスであり、すぐにMk4/Mk5/Qにアクセスできない場合、一時的な対策として、既存のウォレットに強力でユニークなBIP-39パスフレーズを追加することで、リスクを一時的に軽減できます。これは永続的な解決策ではありません。できるだけ早く、影響を受けないデバイスへ適切に移行する計画を立ててください。
エントロピーが重要な理由——技術的でない説明
技術的な詳細に慣れていないユーザー向け：ハードウェールウォレットのセキュリティは、シードを生成するために使用されるランダム性に依存します。シードは、あなたのすべてのBitcoinアドレスが導出されるマスターキーです。
この欠陥により、そのシードが不十分なランダム性で生成された場合、あなたのデバイスが生成しうる可能性のあるシードの全体は、意図されたものよりもはるかに小さかったことを意味します。観測可能な宇宙の原子数よりも大きい2¹²⁸個の可能性のあるシードのうちの1つではなく、あなたのシードは約2⁴⁰または2⁷²個の可能性のあるシードのうちの1つでした。これは劇的に小さなプールであり、十分な計算リソースを持つ高度な攻撃者によって検索される可能性があります。
これが、それまで非常に安全だと見なされていたデバイスにとってもこの欠陥が深刻である理由です。Coldcardハードウェアの物理的な気密性と改ざん耐性は維持されていますが、シード自体がランダム性が制限されたプールから生成された場合、その物理的セキュリティ特性では、弱体化した暗号学的基盤を補うことはできません。
公式情報源
- Coinkite Mk3 ご注意：https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/
- 技術的背景資料：https://blog.coinkite.com/entropy-technical-backgrounder/
公式のCoinkiteチャネルを通じて常に情報を確認してください。非公式なソース、Coinkiteサポートを名乗るソーシャルメディアアカウント、または資金の回復や移行を支援すると主張する第三者の指示に従わないでください。
結論
Coldcardのエントロピーの欠陥は、利用可能なオンチェーン証拠に基づけば、既に影響を受けたウォレットから約3820万ドル分のBitcoinが盗まれた、深刻で技術的に複雑な脆弱性です。技術的な根本原因は、ファームウェアのバグにより、意図された128ビットではなく、ソフトウェア乱数生成器をハードウェア乱数生成器の代わりに静かに使用し、有効なセキュリティが40ビットまたは72ビットのシードを生成していることです。
Coldcardデバイスを所有しており、影響を受けるファームウェアでダイスロールや強力なパスフレーズなしでシードを生成した場合、現在あなたの資金が危険にさらされています。この対応は必須であり、待つことはできません：ファームウェアをアップデートし、新しいシードを生成して資金を移動してください。
よくある質問（FAQ）
Coldcardのエントロピーの欠陥とは何ですか？
シード生成中に、ハードウェアの真の乱数発生器（True RNG）ではなくソフトウェアの疑似乱数発生器（PRNG）を使用してしまうファームウェアのバグにより、意図された128ビット基準ではなく、約40ビットのセキュリティ（Mk3）または72ビットのセキュリティ（Mk4/Mk5/Q）のシードが生成されました。
私のColdcardは影響を受けますか？
ファームウェアが4.0.1から5.0.3のMk3デバイスは高リスクです。最新のホットフィックスより前のファームウェアを搭載するMk4、Mk5、Qデバイスも影響を受けます。TAPSIGNER、OPENDIME、SATSCARDは影響を受けません。
ファームウェアの更新で既存のシードは修復されますか？
いいえ、ファームウェアの更新では既存のシードを修正できません。更新されたファームウェア上で完全に新しいシードを生成し、すべての資金を新しいウォレットに移動する必要があります。
どのファームウェアにアップデートすべきですか？
Mk4およびMk5：ファームウェア5.6.0以降。Qモデル：ファームウェア1.5.0Q以降。Mk3には対応パッチがありません—非対象デバイスへの移行を計画している間、強力なBIP-39パスフレーズを使用してください。