Coldcardファームウェアの深刻な脆弱性：70億円超のビットコインが41分で流出、自己保管の信頼が揺らぐ

特筆すべきは、攻撃者が物理的に一台のColdcard端末にも触れていない点です。すべての攻撃は、脆弱なファームウェアで生成されたウォレットのシード（復元フレーズ）をリモートで再現することで行われました。

Galaxy Research、Chainalysis、そしてBlock（旧Square）のエンジニアリングチームは独立に調査を行い、いずれもこの流出が同じColdcardの脆弱性に起因するものと結論づけています。

攻撃者はどのようにしてブロックチェーン分析サービスを悪用したのか

Blockのビットコインエンジニアリング・セキュリティチームを率いるエンジニア、Clay Garrett氏の調査により、攻撃者の手口が明らかになりました。攻撃者は有名ブロックチェーンサービスプロバイダの有料アカウントを使用し、脆弱なアドレスを効率的に特定・照会していたのです。

Garrett氏はこの証拠を「異常なほどの具体性で、アカウントレベルにまで特定できた」と述べています。この分析サービスは事実上の偵察ツールとして機能し、攻撃者はどのアドレスが脆弱なファームウェアで生成されたかを素早く割り出し、最も資産のあるウォレットを優先的に標的にすることが可能でした。

Chainalysisの分析によれば、攻撃者は事前に犠牲者をプロファイリングしていたとされ、これにより最初の10分間で大規模な流出が実現しました。

根本原因：たった1行のプリプロセッサのミス

この脆弱性は、2021年3月にリリースされたMk3ファームウェアバージョン4.0.1のコミットで混入しました。この時、同社はビットコインコアのlibsecp256k1ライブラリへの移行作業を行っていました。

問題はビルド設定のマクロエラーにありました。本来、Coldcardは専用の**STM32ハードウェア乱数生成器（TRNG）**を使用する設計でしたが、このミスにより、そのTRNGがバイパスされ、**MicroPythonの決定論的ソフトウェア乱数生成器「Yasmarang」**にフォールバックしてしまう状態になっていたのです。

具体的には、本番ボード設定でMICROPY_HW_ENABLE_RNGというマクロがゼロに定義されていました（Coldcardは独自のハードウェアRNGラッパーを持っていたため）。しかし、暗号ライブラリlibngu側のガード条件が#ifndef MICROPY_HW_ENABLE_RNGとなっており、これはマクロが定義されているかどうかだけをチェックし、その値が非ゼロかどうかは確認していませんでした。

その結果、値がゼロであってもマクロが定義されているという理由で、libnguは「ハードウェアパスが利用可能」と誤認し、ソフトウェアベースのrng_get()関数にバインド。実効的なエントロピーは本来の128ビット以上からわずか32～40ビットに低下し、可能なシードの組み合わせは約40億通りと、現代のハードウェアでは容易に総当たり（ブルートフォース）可能な範囲にまで減少していました。

CoinkiteのCEO、Rodolfo Novak（NVK）氏は後にこのエラーを認め、「私はMICROPY_HW_ENABLE_RNGをゼロに設定し、どちらのバージョンも必要ないと考えたが、それが正しい動作ではなかった」と説明しています。

影響を受けるデバイスとファームウェア

その後、Coinkiteは調査を拡大し、特定のMk4、Mk5、およびQモデルのファームウェアバージョンも影響を受ける可能性があると警告を更新。全対象モデル向けの緊急ファームウェアアップデートをリリースしました。

影響を受けたユーザーへの影響と対策

• 盗まれた資金の回復は不可能です。 流出したビットコインはすでに統合・移動され、一般的なミキシングサービスを通じて洗浄（ロンダリング）されている可能性が高いとみられています。
• ファームウェアのパッチを適用しただけでは、古いシードは依然として危険です。 必ずパッチ適用済みのファームウェアで全く新しいシードを生成し、すべての資金を新しいアドレスに移動する必要があります。
• 2021年3月から2026年7月の間にMk3でシードを生成したユーザーは、たとえまだ被害に遭っていなくても、そのシードは「焼却済み」と見なさなければなりません。 あなたのウォレットは依然として同じ攻撃に晒されています。
• BIP 39の追加パスフレーズや、ユーザー自身によるサイコロロールの追加は、このバグを緩和する効果がありました。 脆弱なファームウェアを使用していても、これらの対策を取っていたユーザーのウォレットは攻撃を免れています。

自己保管（セルフカストディ）論争への影響

今回の事件は、**「ハードウェアウォレットのセキュアエレメントがあれば、ソフトウェアのバグに関係なく暗号学的な安全性が保証される」**という自己保管の根幹をなす信頼を大きく揺るがしました。

• コールドストレージは絶対ではない。 バイナンスの創業者であるChangpeng Zhao（CZ）氏は、エアドギャップ（完全オフライン）なハードウェアウォレットでさえ、ファームウェアの欠陥によってセキュリティが無効化され得ると公に警告しました。
• 現在、議論の焦点は**「一般の投資家にとって、自己保管は運用リスクに見合うのか」**という点に移っています。一部のアナリストは、この事件を受けて規制されたカストディアンやビットコインETFへの資金シフトが加速すると予測しています。
• このバグは、オープンソースコードの中に5年以上も気付かれずに存在していました。これは、オープンソースの透明性だけではセキュリティが保証されないことを如実に示しています。一部の研究者は、今後のRNG統合エラーを発見するには、人間によるコードレビューだけではなく、AIによる自動監査が必要だと主張しています。
• また、この事件は**「単一障害点」**の問題を浮き彫りにしました。つまり、あるハードウェアベンダーがたった一つのエントロピーに関するミスを犯せば、そのファームウェア上で生成されたすべてのウォレットが同時に脆弱になるという、システム全体のリスクです。カストディアルソリューションは、キーの分割（マルチシグ）やマルチパーティ計算（MPC）によって、このリスクを部分的にヘッジしています。

詳細な技術的分析については、BlockのエンジニアリングレポートおよびCoinkiteのテクニカルバックグラウンダーを参照してください。