コールドカード流出被害、1359BTCに拡大　約8532万ドル消失

ハードウエアウオレット「コールドカード（COLDCARD）」のハッキングで流出したビットコインが1359BTCを超えた。被害額の拡大が続くなか、バイナンス共同創業者のチャンポン・ジャオ氏は、脆弱なウオレットの利用者に直ちに対応するよう促した。

8月1日のオンチェーン集計によると、コールドカードで生成されたウオレットに関連して流出したと推定されるビットコインは1359.1829BTCに達した。金額にして約8532万ドル（約135億円）となる。初期集計後に追加の被害ウオレットが確認され、流出規模は膨らみ続けている。

今回のハッキングは、コールドカードの一部ファームウエアが十分な乱数性を備えないシードフレーズを生成したことで発生した。攻撃者はシードフレーズの組み合わせを絞り込み、秘密鍵を推定してウオレット内のビットコインを抜き取ったとみられる。

ジャオ氏はXで、ファームウエアの更新だけでは既に作成済みのウオレットの脆弱性を解消できないと警告した。「開発者がバグを修正しても、以前に生成されたウオレットまで直すことはできない」と指摘。そのうえで「利用者が自ら対処するまでは、ウオレットはハッカーにさらされた状態にある」と強調した。

インターネットに接続しないエアギャップ機器の特性も、迅速な対応を難しくしている。開発元が機器に遠隔でセキュリティーパッチを適用したり、利用者に直接警告を届けたりする手段が限られるためだ。

ジャオ氏は「私はセルフカストディーを支持するが、それに伴う負担も利用者が負わなければならない」と述べた。脆弱なファームウエアで生成したシードを使っている利用者は、修正版ファームウエアを導入するだけでは不十分で、新たなシードを生成して資産を移す必要がある。