Coldcard、ウォレットのエクスプロイトで1億1400万ドルが流出するためユーザーに直ちにビットコインの移動を警告

ビットコインのハードウェアウォレット・エコシステムは、まれで危険な局面に直面しています。Coldcardの製造元は、特定のデバイスから資金が現在も差し引かれている状態のエクスプロイトが存在し、それによってすでに約1億1400万ドルの損失が発生したことを確認しました。さらに、この欠陥は火曜日時点でも修正されていないとしています。元となった報道によれば、同社はユーザーに対し、脆弱なハードウェアから直ちにビットコインを移すよう伝えています。
警告は、Coldcardの所有者の間で懸念が高まり続けた数週間の後に届きました。エクスプロイトは特定のファームウェアのバージョンやハードウェア構成を狙っているようです。そして、ハードウェアウォレットをセルフカストディの要として支えている通常のセキュリティチェックをすり抜けています。フィッシング攻撃やシードフレーズの漏えいとは異なり、これはデバイス層そのものの直接的な侵害です。したがって、「秘密鍵はオフラインに保つ」という標準的な助言の信頼性は下がっています。この脆弱性はファームウェア固有である可能性があります。そうであれば、一部のデバイスは影響を受けず、他は資金を吸い取られている理由を説明できるかもしれません。
規模と沈黙
フォーラムやソーシャルメディアでしばしば声高に発信してきたビットコインのセキュリティコミュニティは、警戒と現実主義の入り混じった反応を示しています。長年のColdcardユーザーは、残高が吸い取られた経験を共有する一方で、デバイスのオープンソース・ファームウェアなら欠陥をより早く見つけられたのではないか、という議論も出ています。Coldcardは、どのモデルが脆弱なのか、エクスプロイトがどのように機能するのか、また修正がすぐに見込めるのかについて、公開で詳述していません。この秘匿は、運用上の目的がある可能性があります。つまり、技術的な詳細を公表すれば攻撃者にとっての“ひな型”を与えてしまうからです。しかしその一方で、ユーザーを不安の残る不確実性の状態に置いてしまっています。
何年も前からColdcardは、エアギャップ設計とビットコイン専用ファームウェアを評価するビットコイン最大主義者にとっての定番でした。デバイスは、最も用心深い保有者のための“要塞”として宣伝されていました。ところが今、その要塞に亀裂が入ったのです。そして、パッチの時期について製造元が沈黙していることで、根本原因は深く根付いたものかもしれない、つまりサプライチェーンの脆弱性や、数か月前のファームウェア更新の際に導入された欠陥といった可能性が、憶測を呼んでいます。
より広いセルフカストディのジレンマ
ハードウェアウォレットの悪用は新しい話ではありません。これまでにもLedgerやTrezorのデバイスで同様のインシデントが起きていますが、今回の規模は際立っています。Coldcardの状況は、継続的に存在する緊張関係を浮き彫りにします。つまり、取引所リスクへの対抗策としてセルフカストディが広く推奨されている一方で、その技術的な責任が、デバイスの真正性を評価するだけの専門知識がない可能性のある“単一のユーザー”に集中してしまうのです。業界は長年、適切に製造され最新状態に保たれたハードウェアウォレットはリモート攻撃に対して不透過（侵されない）であると想定してきました。しかしその前提は、いま深刻な負荷を受けています。
直ちに資金を別のウォレットへ移す、たとえばスマートフォン上のホットウォレットに移すという緊急の案内は、別種のリスクを持ち込みます。侵害されたハードウェアデバイスから逃れようとするユーザーは、自身の秘密鍵を、より安全性の低い環境にさらしてしまう可能性があります。これは、「確認された脅威」と「不確かな脅威」の間のトレードオフであり、セキュリティ実務者は、一般の保有者が簡単に判断できない要因を踏まえてその決定を天秤にかけることになります。
不確かな点
このエクスプロイトがリモートで発火できるのか、物理的なアクセスが必要なのか、あるいは取引署名の際に使われる連携ソフトウェアの脆弱性を突くのかは、現時点では分かっていません。状況が不明確なため、ユーザーが取れる防御手順も難しくなります。資金を完全に移していない限り、たとえファームウェア更新を行ったとしても、ブートローダーの段階でハードウェア自体が侵害されている場合には十分でないかもしれません。脅威が封じ込められた後、Coldcardは包括的な技術的事後検証（ポストモーテム）をリリースする必要がありますが、これは少なくとも今のところ、数日または数週間先に見える状態です。
影響を受けたユーザーが、オンチェーンでの追跡や法的な介入によって盗まれた資金の一部でも取り戻せるかどうかは、未解決の問いです。ビットコインの透明な台帳は資金の行方を追うのに役立ちますが、匿名性のために取り締まりの実効性は下がります。歴史的にも、ハードウェアウォレットのエクスプロイト被害に遭った個々の被害者が返金（補償）を受けることは、まれでした。特にビットコインネイティブの層の間でのハードウェアウォレット販売へのより広い影響は、Coldcardがどれだけ迅速に対応するかにほぼ左右されるかもしれません。
製造元からのメッセージは、細部に関する沈黙があっても、要点ははっきりしています。脆弱なデバイスを持っているなら、それが侵害されているとみなし、損失の積み上がりがこの先も続く中で次の被害事例になってしまう前に、ビットコインを移してください。