Aug 19, 2026

Coldcardのセキュリティ上の欠陥：ハードウェアウォレットの乱数生成の失敗がいかにして大規模なBitcoin盗難を招いたか

熱心なBitcoinユーザー向けに構築されたハードウェアウォレットであるColdcardは、Bitcoinのみをサポートし、オフラインで動作し、オープンソースコードに依存しており、Canadaで組み立てられています。しかし、March 2021以降、特定のColdcardユニットにおいて、乱数を生成するための専用チップの代わりに、デバイスのシリアル番号と内部時計に依存して顧客の秘密鍵を生成していました。これにより、それらの鍵を予測することが大幅に容易になりました。

July 30、ハッカーは25-minuteの間に、約500の休眠ウォレットから594 Bitcoinを奪いました。Galaxy Researchは、この広範な盗難を1,196のアドレスに分散された1,082 Bitcoinに関連付けています。August 2までに、その数字は約$88.6 millionの価値がある1,367 Bitcoin近くまで上昇しました。

攻撃者はウォレットへの物理的なアクセスを必要としませんでした。Coldcardのソースコードは公開されており、Bitcoinのブロックチェーン上のデータも同様です。攻撃者は、欠陥のあるソフトウェアが生成した可能性のある鍵を特定するために、数週間を費やしたようです。その後、それらの鍵を資金が入っているBitcoinアドレスと照合することができました。露出したウォレットを特定した後、攻撃者はBitcoinを移動させました。実際の盗難はわずか25分間でした。

この欠陥は、バグという言葉が示唆するよりも深刻です。Coldcardは基盤となるソフトウェアの汎用的な乱数生成を警戒しており、チップ独自のハードウェア生成器を封入し、内蔵のものを無効にしています。しかし、サポートライブラリの安全チェックが、内蔵の生成器がオフになっていることに気づきませんでした。シード生成はソフトウェアの代替手段にフォールバックし、シリアル番号と時計から得られる限りの乱数を取り出し、その後新しいデータを収集することはありませんでした。シードは128ビットのエントロピーを保持することになっています。Mk3では、約40でした。

物理的な例えでは、鍵メーカーが1,000,000通りの組み合わせを宣伝しているようなものです。製造上の欠陥により、あるバッチではそのうちの約1000通りしか設定されないことを意味します。鍵は依然として機能し、棚にある他のすべての鍵と同一に見えます。所有者はその違いを見分けることができません。泥棒はその1000通りがどれかを知るだけでよいのです。

Bitcoinの根底にある楕円曲線暗号の数学が解読されたことはありません。解読されたのは、そこに供給された乱数でした。