オフライン保管でも安全ではない？Coldcard不正流出の謎に迫る

ハードウェアウォレットColdcardで公表された乱数生成の不具合が、オフライン保管の前提そのものに問いを投げかけています。生成された12語または24語の復元フレーズは一見通常のものですが、内部の乱数の幅が大幅に狭まっていたため、攻撃者が別の環境で候補となるシードを再現し、公開されているブロックチェーン上の残高と照合できる可能性があるとされています。

原因は2021年3月1日のコード変更にあり、ハードウェア乱数生成器を有効化する設定が無効のまま、設定の存在有無だけを確認する実装になっていた点にあります。その結果、生成処理が決定論的な代替ルーチンへ回されていました。

Coinkiteの暫定推計では、影響を受けたMk2/Mk3のシードは実効約40ビット、Mk4/Mk5/Qは約72ビットの探索空間にとどまるとされています。

ファームウェアの更新は今後生成するシードを保護するにとどまり、既存のシードの脆弱性は解消されません。Coinkiteは公正で独立した50回以上のサイコロによる入力を非公開で行ったと確認できる場合を除き、新しいシードの作成と資金移動を推奨しています。

被害推計は流動的で、Galaxy Researchは8月2日時点で4,585アドレス・約1,367BTCの流出が疑われるとしています。一方、開示後には古いUTXO帯から77,402BTCが移動しており、こちらは予防的な資金移転を多く含むとみられています。

同種の弱い乱数の問題は2023年のTrust Wallet拡張機能やLibbitcoin Explorerでも確認されており、鍵の安全性は生成時点で決まるという原則が改めて意識されそうです。

記事ソース：資料