Coldcardハードウェアウォレットの脆弱性で8800万ドルのビットコイン流出

Coldcardハードウェアウォレットに2021年から続くソフトウェアの欠陥が見つかり、攻撃者は41分で1196のビットコインアドレスから7000万ドル相当のビットコインを不正送金した。現在の総損失は8800万ドルに達し、まだ増え続けている。この欠陥は、デバイスが乱数生成にハードウェアベースのチップではなくソフトウェアベースの方法を使用するように設定された誤りから発生している。

この欠陥は、デバイスが乱数生成にハードウェアベースのチップではなくソフトウェアベースの方法を使用するように設定された誤りから発生している。これにより攻撃者は、デバイスの内部時計とシリアル番号の振る舞いを予測し、同じ「ランダム」な数字を再現して、実際に資金のあるアドレスを開くための予測をテストできる。現在、Mk3デバイスでは40ビット、Mk4、Mk5、Qデバイスでは72ビットの有効エントロピーしかなく、標準の128ビットの12語のBIP-39シードよりもはるかに低い。

Coinkiteは7月31日にすべての影響を受けたモデルに緊急のソフトウェア更新を公開したが、この更新は既に作成されたシードを修正しない。同社は、公開されたシードを持つユーザーに新しいシードを作成し、ビットコインを移動することを勧告している。