Coldcardウォレットの隠れた欠陥が8860万ドルのBitcoin盗難を招いた経緯

Coldcardは、本格的なBitcoinユーザー向けのハードウェアウォレットです。Bitcoinのみをサポートし、オフラインで保管可能で、オープンソースソフトウェアを使用しています。カナダで組み立てられ、ユーザーのBitcoinを安全に保つように設計されています。

しかし2021年3月から、一部のColdcardデバイスは、乱数を生成するために設計された専用チップではなく、デバイスのシリアル番号と内部クロックを使用して顧客の秘密鍵を生成していました。これにより、鍵の予測がはるかに容易になりました。

7月30日、攻撃者はわずか25分間で、約500の休止状態のウォレットから594 Bitcoinを盗みました。Galaxy Researchはその後、この広範な盗難を1,196のアドレスにわたる1,082 Bitcoinに関連付けました。8月2日までに、合計は、約8,860万ドルの価値がある約1,367 Bitcoinに達しました。

攻撃者はウォレットへの物理的なアクセスを必要としませんでした。Coldcardのソフトウェアコードは公開されており、Bitcoinブロックチェーン上の情報も同様です。

攻撃者は、欠陥のあるソフトウェアが生成した可能性のある鍵を特定するために数週間を費やしたとみられます。それらの鍵は、資金を保有するBitcoinアドレスと照合されました。脆弱なウォレットが特定されると、攻撃者はBitcoinを移動させることができました。盗難自体はわずか25分しかかかりませんでした。

欠陥の内側

この欠陥は、「バグ」という言葉が示唆するよりも恥ずべきものです。Coldcardは、構築の基盤となるソフトウェアの汎用的な乱数性を信頼していないため、チップ独自のハードウェア生成器をラップし、組み込みのものをオフにします。しかし、サポートライブラリの安全チェックが、組み込み生成器が無効化されていることを検出できませんでした。シード生成はソフトウェアのフォールバックに転落し、シリアル番号とクロックから得られる限りの乱数を取り込み、その後二度と新しい情報を収集しませんでした。シードは128ビットのエントロピーを持つべきものです。Mk3では、約40ビットしかありませんでした。

物理的な例えで言えば、鍵メーカーが100万通りの組み合わせを宣伝しているようなものです。製造上の欠陥により、ある生産ロットではそのうちの約1,000通りにしかならないのです。鍵は依然として回転し、棚にある他のすべての鍵と全く同じに見えます。所有者には知る術がありません。泥棒はその1,000通りがどれかを知っていればいいだけです。

Bitcoinの根底にある楕円曲線数学は一度も破られたことがありません。それを供給する乱数性が破られたのです。

影響範囲は、移動したコインよりも広範です。シードはBitcoin固有のオブジェクトではなく、単なるエントロピーです。他のシステムのシステムのアドレスや鍵を生成することもできます。Coldcardのシードをマルチチェーンウォレットに持ち込んだ人は誰でも、別のテーブルで同じ壊れたサイコロを使っていたことになります。