📡 Signal｜Coldcard で盗まれた鍵の集合は、攻撃者ではなくファームウェアが決めていた——更新しても集合は縮まない

7月30日に始まった Coldcard 由来のビットコイン流出は、8月6日以降、高確度の新規攻撃が確認されていない。集計は主体で割れており、Galaxy Research は 1,778 BTC 超（約 1.12 億ドル）、TRM Labs は約 1,816 BTC・5,200 を超えるアドレス・総額約 1.16 億ドルとしている。どちらも暫定値だ。

だが、この事故で止まったのは攻撃であって、露出ではない。欠陥があったのは鍵を作るという一度きりの工程で、ファームウェアを更新しても既に生成された鍵は直らない。攻撃が再開するかどうかと、鍵が探索可能かどうかは、別の問いだ。

そして被害額より先に見るべき数字がある。盗まれたコインが、いつ作られたアドレスに入っていたかだ。

■ 盗難集合の輪郭は、ファームウェアの出荷日で切れている

Galaxy Research のオンチェーン分析によれば、高確度で盗難と判定された集合のなかに、2021年3月17日より前に作られた UTXO は 1 つも無い。盗まれたコインの休眠期間の中央値はおよそ 3.8 年で、その多くは一度も送金したことがない受取専用のアドレスだった。

2021年3月は、Coinkite が Mk2 / Mk3 向けにファームウェア 4.0.1 を出した月にあたる。公式アドバイザリは影響範囲を「Mk2 または Mk3 のバージョン 4.0.1（2021年3月）から 4.1.9 まで」と明示している。

つまり攻撃者は、資産規模でも取引所の露出でもなく、鍵が生成された時期で標的を選んだ。正確には、選ぶ必要がなかった。ファームウェアが出力した鍵の集合が、そのまま探索対象の集合になっていた。標的リストを作ったのは攻撃者ではない。

長期休眠アドレスがまとまって動く事象は、通常なら保有者の意思決定として読まれる。ここではそうではない。動いたのは保有者ではなく、5年前の生成工程だ。オンチェーンの観測でこの区別を落とすと、事故の痕跡が保有者の行動として集計される。

■ 「更新した」と「安全になった」は、この事故では一致しない

アドバイザリの記述は明確だ。ファームウェアの更新は既存のシードを変更も修復もしない、と書かれている。修正版の 4.2.0 についても、すでに影響下のファームウェアで生成されたシードを修復することはできない、と明示されている。

エントロピーの落ち方は機種で異なる。Coinkite は Mk4 / Mk5 / Q について、期待される 128 ビットではなく約 72 ビットだったとしている。より古い Mk2 / Mk3 についてはビット数を示していないが、影響は Mk4 系より深刻だとしている。TRM Labs は古い機種で 40 ビット程度まで落ちたと推定しており、これは物理的アクセスなしに総当たりが成立する水準だ。TAPSIGNER、OPENDIME、SATSCARD は別のコードベースで、影響を受けない。

例外はある。シード生成時に 50 回以上の公正で独立したダイスロールを自分で入力していれば、ダイス由来のエントロピーだけで 128 ビットに達する。強く固有な BIP-39 パスフレーズも独立した障壁になる。ただしアドバイザリは、パスフレーズ利用者にも移行を勧めている。障壁が一枚増えても、シードそのものは直らないからだ。

ここに、この種の欠陥のコスト構造が出る。ソフトウェアの脆弱性は通常、修正を配れば解消する。鍵生成の欠陥は解消しない。回復手段は資産の移動しかなく、そのコストは、手数料・移行手順そのものの危険・秘密の再管理という形で、欠陥に何の関与もしていない保有者の側が全額払う。

■ 数字が確定しないこと自体が、この事故の性質を示している

集計は割れている。TRM Labs は 4 波・約 1,816 BTC・5,200 を超えるアドレス・約 1.16 億ドルとし、報告の時点で第 4 波はまだメモリプールにあったとしている。Galaxy Research は 8月14日時点で 1,778 BTC 超・約 1.12 億ドルとし、うち 1,531 BTC は攻撃者の管理下から一度も動いていないとした。同社は主要な 3 波に加えて 30 以上の小規模な痕跡を確認しており、低確度の痕跡まで含めれば 2,000 BTC を超えるとも述べている。

差は誤りではなく、確定の仕方の差だ。取引所の破綻と違い、ここでは被害者が自分で気づいて名乗り出るまで、被害が被害として計上されない。受取専用の休眠アドレスであれば、保有者が残高を確認する頻度そのものが低い。総額はしばらく上振れを続ける。

Coinkite 自身も、公開されているのは初期の分析であり、正式な技術レビューを後日出すとしている。原因の全体像も、まだ確定していない。

■ 止まったのは攻撃で、探索可能性ではない

Galaxy Research は 8月6日以降、高確度の攻撃者活動を確認していないとしている。同社の Alex Thorn 氏も、8月6日以降に確認された新規の攻撃はない、ただしそれは起こり得ないという意味ではない、と述べている。

再開が容易であることは、攻撃の構造から出てくる。鍵空間を絞り込む計算は一度払えば済むコストで、対象アドレスの一覧は繰り返し使える。攻撃者が手を止めた理由が何であれ、未移行のシードは探索可能な集合の中に残り続ける。TRM Labs の勧告は端的だ。2021年3月から今回の修正までの間に Coldcard で生成したシードは、侵害済みとして扱うべきだ、としている。

自己保管は、預け先が破綻するリスクを取り除く。取り除いた分は消えるのではなく、鍵を作る側の実装へ移る。今回はその移った先が、5年間だれにも検出されずに動いていた。ハードウェアウォレットの評価軸は対タンパー性やエアギャップの有無に寄りがちだが、実際に集合を決めたのは、電源を入れて最初に一度だけ走るコードだった。鍵生成は外部から検証しにくい。出力された鍵を見ても、それが十分な乱数から来たのかどうかは分からないからだ。

■ 次に見るもの

・攻撃者の管理下で動いていない 1,531 BTC が移動を始めるか。取引所への流入や混合が始まれば、追跡と回収の議論が次の段階に入る

・Coinkite の正式な技術レビューがいつ、どこまでの範囲で出るか。とくに Mk2 / Mk3 の実効エントロピーが公式の数値として示されるか

・他のハードウェアウォレット供給者が、自社の乱数生成と過去出荷分の検証結果を公表するか。今回問題になったのは製品の売り文句ではなく、外部から確かめる手段がほとんどない一工程だった

集計値はまだ動く。動かないのは、鍵が作られた瞬間に確定した集合の輪郭のほうだ。

🔗 一次ソース

• Coldcard Security Advisory（Coinkite 公式・影響範囲 Mk2/Mk3 4.0.1〜4.1.9、Mk4/Mk5/Q の約 72 ビット、「更新は既存シードを修復しない」を確認）
• TRM Labs（約 1,816 BTC・5,200 超アドレス・約 1.16 億ドル、古い機種で 40 ビット程度、2021年3月以降のシードは侵害済みとして扱う勧告）
• TFTC（Galaxy Research のオンチェーン分析・2021年3月17日以前の UTXO がゼロ、休眠期間中央値 約3.8年を確認）
• The Crypto Times（8月14日・Galaxy が 8月6日以降の高確度活動なしと表明、1,778 BTC 超・1,531 BTC 未移動・30 超の痕跡）
• crypto.news（Galaxy の上限推計・低確度の波を含めた 2,055 BTC 規模の見積もり）