Coldcardの疑わしい第4波攻撃：なぜ462件のアドレスがまだ掃引されているのか？

Galaxyの調査責任者であるAlex Thorn氏は、影響を受けたColdcardファームウェアによって生成されたシードフレーズに関与する、組織的なビットコイン窃盗の第4の波と思われるものを特定しました。ブロック960,778から960,792までの約2.5時間の間に、研究者は462の疑わしい被害者アドレス、216の新しい宛先、および388.92748828 BTCを含む218件のトランザクションを観測しました。同様のトランザクションはメモプールに残っていたと報告されており、確認済みのトランザクションにはReplace-by-Fee（RBF）が有効になっていました。

この活動は、公開情報や緊急ファームウェアアップデートが、以前に生成されたシードフレーズに関連するリスクを排除していないことを示唆しています。観測された資金移動率はブロックあたり13.8回に達し、インシデント前のコントロール期間中の0.3回と比較して約45倍の増加となりました。それでも、「第4の波」はオンチェーンパターンに基づく研究上の分類のままです。証拠は攻撃者を決定的に特定したり、すべての波を同じ主体が行ったことを証明したりするものではありません。

主要なポイント

• 疑わしい第4の波には、218件のトランザクション、462の疑わしい被害者アドレス、216の新しい宛先、および388.92748828 BTCが含まれていました。
• 活動の集中と資金移動率の約45倍の増加は、通常のウォレット移行ではなく、体系的な悪用であるという解釈を支持します。
• 主に1対1の送金、宛先の再利用が最小限であること、および2ホップ目の移動は、より分散した資金管理戦略を示している可能性があります。
• Coldcardファームウェアの更新は既存の脆弱なシードフレーズを修復しません。潜在的に影響を受けたユーザーは、修正されたプロセスを通じて新しいシードフレーズを生成し、資産を移行する必要があります。

疑わしい第4の攻撃波で何が起こったのか？

Thorn氏の監視によると、最新のトランザクションクラスターはビットコインブロック960,778から960,792の間に現れました。約2.5時間の間に、研究者は継続中のColdcardインシデントに関連する特徴を共有する218件のトランザクションを特定しました。これらのトランザクションには、疑わしい被害者アドレスとして分類された462のアドレス、216の新しい宛先アドレス、および388.92748828 BTCが含まれていました。同様のトランザクションは依然としてメモプールで確認待ちであると報告されており、観測された期間が活動の終端を表していない可能性を示唆しています。

以前に確認されたトランザクションもRBFを有効にしており、これにより未確認のビットコイントランザクションをより高い手数料を支払うバージョンに置き換えることができます。RBFは通常のネットワーク機能であり、それ自体が悪意を示すものではありません。しかし、進行中の大量資金移動の文脈では、その使用はトランザクションを開始した者が確認優先度を積極的に管理しており、競合するトランザクションが現れた場合に手数料を増加させることができたことを示唆しています。

報告されたアドレスと価値の数値は慎重な解釈が必要です。「被害者アドレス」は、そのトランザクション行動と関連するColdcardファームウェアの境界との接続を通じて研究者によって分類されたアドレスであり、必ずしも一人の個別ユーザーを表すわけではありません。一つのウォレットが複数のアドレスを制御する場合があり、トランザクションが複数の入力を使用する場合もあります。同様に、この期間中に観測された388.92748828 BTCは、研究者がアドレス、入力、および送金された資金が以前のクラスターと重複していないことを確認するまで、自動的に以前の損失推定額に加算すべきではありません。

最も重要な証拠は、活動の強度と一貫性です。研究者は、監視期間中にブロックあたり13.8回の資金移動を計算し、インシデント前のコントロール期間中のブロックあたり0.3回と比較しました。このような急激な増加は、セキュリティ警告に反応する独立したユーザーの行動だけでは説明するのが困難です。また、トランザクションには関連するColdcardファームウェアの境界より前の入力が含まれていなかったと報告されており、移動された資金と影響を受けたファームウェアの下で作成されたシードフレーズとの関連性を強化しています。

したがって、Galaxyの評価は、タイミング、アドレス選択、トランザクション構築、および宛先行動の複合的な重みに基づいています。単一の特徴が決定的なものではありません。正当なユーザーは、公式の警告後にRBFを有効にしたり、新しい受取アドレスを生成したり、同時に資金を移行したりすることができます。これらの特徴が数百のファームウェア関連アドレス across で異常な規則性を持って現れる場合、組織的な攻撃という解釈はより説得力を持ちます。

しかし、オンチェーン分析は誰が秘密鍵を制御しているかを直接明らかにすることはできません。一人の攻撃者が波の間でトランザクション戦略を変更する可能性があり、複数のオペレーターが弱点が公になった後、独立して同じ弱点を悪用する可能性もあります。したがって、Galaxyは、すべての波が決定的に同じ主体に帰属されると主張することなく、クラスターを調整された攻撃波として扱っています。

新しいトランザクショントポロジーは何を明らかにするのか？

疑わしい第4の波は、被害者アドレスからの資金が別々の新しい宛先に送られる、主に1対1の構造を示しました。報告によると、2回の資金移動を受け取った宛先は1つだけであり、初期の監視期間中に明らかな中央集約アドレスは現れませんでした。資金の一部はその後、2ホップ目のアドレスに移動しました。

この構造は、インシデントの初期に観測された最も明確なフィンガープリントとは異なります。Galaxyの分析によると、最初の2つの主要な波は、30 sat/vBのハードコードされた手数料と類似したバッチ処理パターンを繰り返し使用しており、共通のオペレーターまたは攻撃ツールの可能性を支持しています。後の波は、個別の送金と分散された宛先へとシフトしました。特定された最初の3つの波全体で、Galaxy関連のレポートは、4,585のアドレスから1,367.05 BTCが影響を受けた金額であるとしましたが、トランザクションフィンガープリントの違いにより、単一の攻撃者への決定的な帰属は妨げられたと強調しました。

一つの説明は、攻撃者が中央集約型収集アドレスが以前のトランザクションをクラスタリングおよび監視しやすくすることを認識し、即時の可視性を減らすために新しい宛先と追加のホップを採用したことです。もう一つは、弱点の開示により、模倣犯が独自に開発したツールを使用して残りの脆弱なシードフレーズを検索できるようになったことです。どちらの解釈もトランザクションパターンと一致していますが、どちらもトポロジーのみから証明することはできません。

2ホップ目の送金を自動的にマネーロンダリングと描述すべきではありません。これらは、初期の抽出を長期的な保管から分離したり、後の統合のために資金を準備したり、アドレスがフラグ付けされているかどうかをテストしたり、資産を外部サービスへルーティングしたりする可能性があります。調査官は、2ホップ目のアドレスが最終的に収束するか、識別可能なエンティティと相互作用するかどうかを決定する必要があります。この段階では、防御可能な結論は、最新のトランザクションが体系的な資金移動と increasingly 分散した資金管理を組み合わせて示していることです。

攻撃の進化は、ユーザーの実用的なリスクも変化させます。Galaxyは、約41分以内に1,196のアドレスから1,082.65 BTCが移動された初期のバーストを特定しました。後の活動は、異なる構造を使用して追加のアドレスとより小さな残高を標的としました。これは、目に見える高価値のウォレットを迅速に抽出することから、脆弱なシードフレーズの残存人口を継続的にスキャンすることへの移行を示している可能性があります。

継続的な列挙キャンペーンは、攻撃ツールが改善されたりトランザクションコストが変化したりするにつれて、同じ脆弱なシードスペースを再訪し、より小さな残高を標的とすることができます。公開情報はまた、移行を試みる正当な所有者と鍵を再構築しようとする攻撃者の間の競争を生み出す可能性があります。したがって、疑わしい第4の波は、観測された価値だけでなく、最も目に見える初期の窃盗が終了した後でも、移行されていないシードフレーズが悪用可能であることを示しているため重要です。

技術的な根本原因：予測可能なランダム性

Blockのビットコインエンジニアリングおよびセキュリティチームは、根本的な問題をColdcardファームウェアの乱数生成パスとの統合に遡りました。Blockによると、MicroPythonのハードウェアRNG実装を無効にするための構成により、外部ライブラリが期待されるSTM32ハードウェアRNGではなく、決定論的なYasmarangソフトウェアジェネレータにフォールバックしました。ライブラリは構成マクロが存在するかどうかをチェックしましたが、有効かどうかはチェックしませんでした。

影響を受けたMk2およびMk3ファームウェアの場合、フォールバックジェネレータは、脆弱なパスを通じて暗号的に安全なエントロピーを受け取ることなく、デバイスメタデータとタイミング状態を使用して初期化できました。攻撃者がデバイスUID、タイマー状態、および以前の乱数呼び出しを決定または十分に制約できれば、候補出力をオフラインで再現できる可能性があります。後のデバイスでは、セキュアエレメント入力が追加されましたが、Blockは結果のダイジェストの4バイトのみが再シード関数に到達し、関連する仮定の下で安全に区別された状態を最大(2^{32})の可能性に制限すると報告しました。

弱いランダム出力を暗号ハッシュに通しても問題は解決しません。ハッシュは結果を一様分布のように見せることができますが、元の入力空間に存在していたよりも多くの可能な秘密を作成することはできません。攻撃者は候補シードフレーズを列挙し、それらのビットコインアドレスを導き出し、それらのアドレスをパブリックブロックチェーンと比較することができます。一致は、ウォレットへの物理的なアクセスなしに対応する秘密鍵を明らかにする可能性がある検証信号を提供します。

これはビットコインの署名システムやシード標準の失敗ではありません。脆弱性は、秘密鍵が作成される前に使用されたランダム性に関するものです。一度脆弱なシードフレーズが存在すると、オフライン、エアギャップ、または物理的に保護されたデバイスであっても、別の当事者が計算を通じて同じ秘密を再構築することを防ぐことはできません。

Blockは、悪用が活発であるように見える間に公開された早期の技術評価としてそのレポートを説明し、すべての可能な攻撃経路の実証的テストを完了していないことに留意しました。したがって、その発見はCoinkiteの調査および最終的な技術的結論と併せて考慮されるべきです。その留保があっても、中心的なセキュリティ問題は明確です。鍵生成後に適用される保護は、シードフレーズが作成されたときに欠如していたエントロピーを回復することはできません。

なぜファームウェアの更新だけでは不十分なのか？

Coinkiteの公式ガイダンスは、将来の脆弱なシードフレーズ生成を防ぐことと、既存のシードフレーズを修復することを区別しています。修正されたファームウェアは新しい秘密がどのように生成されるかを変更しますが、影響を受けたバージョンで作成されたニーモニックを変更することはできません。そのニーモニックを更新されたファームウェアまたは異なるハードウェアウォレットにインポートすると、同じ秘密鍵が再作成され、根本的なリスクが維持されます。完全な救済には、修正されたプロセスを通じて真に新しいシードフレーズを生成し、オンチェーンで資金を送金することが必要です。

Coinkiteは、ファームウェアバージョン4.0.1から4.1.9で生成されたMk2およびMk3シードフレーズが影響を受けていると特定しています。また、標準ファームウェア5.6.0またはEdgeファームウェア6.6.0Xの前に作成されたMk4およびMk5シードフレーズ、ならびに標準ファームウェア1.5.0QまたはEdgeファームウェア6.6.0QXの前に作成されたColdcard Qシードフレーズの移行も推奨しています。同社は、Mk4、Mk5、およびQへの影響は、影響を受けたMk2およびMk3デバイスほど深刻ではないものの、依然として重大であると説明しています。Mk2およびMk3の所有者は、バージョン4.2.0以降をインストールした後、交換用のシードフレーズを生成できます。

真に独立したエントロピーは限定的な例外を提供する可能性があります。Coinkiteは、少なくとも50回の公正で独立したプライベートなサイコロ転がしが128ビットのエントロピーを提供し、99回以上の転がしが約256ビットを提供すると述べています。転がしがどのように生成され、組み込まれたかを自信を持って確認できないユーザーは、この例外に依存すべきではありません。強力なBIP-39パスフレーズは追加の障壁を作成するかもしれませんが、Coinkiteはパスフレーズが元のシードフレーズを修復しないため、依然として移行を推奨しています。Coldcard PINはBIP-39パスフレーズではなく、秘密鍵が再構築された場合、ブロックチェーン資金の移動を防ぐことはありません。

今、Coldcardユーザーは何をすべきか？

潜在的に影響を受けたユーザーは、現在のシードフレーズが最初に生成されたときに使用されたデバイスモデルとファームウェアバージョンを特定する必要があります。シードフレーズが古いColdcardで作成されたか、他のデバイスからインポートされた場合、現在のファームウェアバージョンだけでは不十分です。ファームウェアの確認とダウンロードは、未承諾のサポートアカウント、ソーシャルメディアメッセージ、または回復サービスによって提供されたリンクに従うことなく、公式のCoinkiteチャネルを通じてのみ行うべきです。

影響範囲内のユーザーは、該当する修正ファームウェアをインストールし、完全に新しいシードフレーズを生成する必要があります。新しいバックアップを安全に記録し、ハードウェア画面で直接ウォレットフィンガープリントと受取アドレスを確認し、残高を移行する前に小額のテストトランザクションを送信する必要があります。古いニーモニックを新しいデバイスに復元したり、ファームウェア更新後に继续使用したりしても、脆弱性は解決しません。

このインシデントは二次詐欺の機会も生み出します。ユーザーは、Coldcard、Coinkite、Galaxy、取引所、法執行機関、または回復会社を代表すると主張する任何人に、シードワード、秘密鍵、パスフレーズ、サイコロ転がしシーケンス、またはウォレットバックアップを開示すべきではありません。正当なサポート担当者は、ファームウェアを確認したり移行手順を説明したりするためにこれらの秘密を必要としません。

マルチシグユーザーは、支出閾値に参加している影響を受けた鍵の数を評価すべきです。十分な数の脆弱な鍵が再構築できる場合、マルチシグ保護も失敗する可能性があります。閾値を弱めたり、ウォレットスクリプトを不必要に公開したりせずに鍵を交換するには、特に高価値または機関管理のウォレットの場合、より慎重に計画された移行が必要になる可能性があります。

ハードウェアウォレットセキュリティへの広範な影響

このインシデントは、すべてのハードウェアウォレットまたは自己保管システムが安全でないことを示すものではありません。ウォレットセキュリティは、エントロピー生成、ファームウェア構成、依存関係レビュー、シードバックアップ、トランザクション検証、および最終的な移行を含む鍵のライフサイクル全体に依存することを示しています。「エアギャップ」、「オフライン」、「オープンソース」、または「セキュアエレメント保護」といったラベルは、完全なシステムのセキュリティではなく、個々の防御策を説明しています。

オープンソースファームウェアは独立したレビューを可能にしますが、悪用前に実装エラーが発見されることを保証するものではありません。より強い保証には、再現可能なビルド、エントロピーテスト、ライブラリ境界を越えたコードレビュー、決定論的テストベクトル、および安全なランダム性が利用できない場合のフェイルクローズ動作が必要です。 otherwise、ウォレットはシード作成以来存在していた弱点を隠しながら、資金を受信し、有効なトランザクションに署名し続けることができます。

中心的な教訓はシードフレーズの由来に関するものです。古いニーモニックを新しいハードウェアに移行すると、その保存環境は改善されますが、数学的なセキュリティは変更されません。ハードウェアウォレットは秘密鍵がどのように保存され、使用されるかを保護します。予測可能なシードフレーズを遡及的に予測不可能にすることはできません。

結論

疑わしい第4のColdcard攻撃波は、リスクウィンドウが開いたままであることを示しています。圧縮されたタイミング、資金移動率の約45倍の増加、ファームウェア関連の入力境界、および規則的なトランザクション構造は、Galaxyの体系的な活動という評価を支持しています。しかし、攻撃者の身元と異なる波間の関係は依然として未確認です。

潜在的に影響を受けたユーザーにとって、優先事項は現在のシードフレーズがいつ、どのように作成されたかを確認することです。修正されたファームウェアは newly 生成された秘密を保護できますが、既存の脆弱なシードフレーズを修復することはできません。効果的な対策は、修正されたプロセスを通じて新しいシードフレーズを生成し、資産を安全に移行することです。

リスク免責事項：この記事は情報提供のみを目的としており、投資、法律、またはサイバーセキュリティの助言を構成するものではありません。ユーザーは、公式のCoinkiteドキュメントを通じてファームウェアバージョンと移行手順を確認し、複雑なウォレット構成については資格のある支援を求めるべきです。