cardが問題を起こした後、大量のビットコインが移動した

2026年8月13日 · 自己管理と鍵の安全に関する観察

7月末のColdcardの脆弱性により約1,816枚のビットコインが盗まれたが、オンチェーン上では、その後233,000枚のBTCが長期保有ウォレットから移出され、22,000枚が取引所へ送られたことが示されている。[1] Casa CEOのNick Neumanは、盗難額の10〜100倍に相当する資金が安全な場所へ移されたと述べた。

今回の移行には2つの出どころがある。1つは、Casaの一部の顧客が当初、単一署名のLedgerまたはTrezor（完全に異なるデバイスブランド）を使用していたが、今回の事件を機にマルチシグウォレットへ切り替えたこと。もう1つは、もともとマルチシグを使っていたユーザーで、鍵の組み合わせからColdcardデバイスを外したことだ。[1]

Neuman は、今回の対応と、中央集権的なカストディを想定した場合を比較しました。同じ価値の BTC を取引所に預け、その取引所が攻撃されて破られたとすると、数字は逆になります。つまり、ほぼすべての資金が一度に消え、少量だけ逃げられる可能性があります。[1] 一方、自主保管のシナリオでは、攻撃者は各アドレスを順番に解読する必要があり、1 回につき手に入れられるのはごく少量の BTC です。同時に、ネットワークには時間的余裕があり、残りの資金を移すことができます。

Glassnode のデータが規模を裏づけています。長期保有者の供給量は、約 1500 万 BTC から 1470 万 BTC 前後へ減少——2024 年 12 月以降の最大の週次下落幅です。これは、BTC の価格が 10 月の 126,000 米ドルの史上最高値を 50% 下回っているときに起きました。[1]

Coinkite は、4.0.1 から 4.1.9 のファームウェア（2021 年 3 月から 2026 年 7 月までをカバー）で種を生成したユーザーに対し、直ちに新しい種へ移行するよう促しています。たとえデバイスをアップグレードしても、その古い種のエントロピーは生成時から弱く、その後のパッチでは修復できません。

## SlowMist が技術的に再現：乱数の後退によって秘密鍵が予測可能に

SlowMist チームは、Mk3 ファームウェア 4.1.9 で完全な攻撃チェーンの再現を行いました。[2] 問題の根本原因は、2 つのコンパイル層のエラーが重なったことにあります。

第 1 層として、Coldcard は `mpconfigboard.h` の中で `MICROPY_HW_ENABLE_RNG` を明示的に 0 に設定しています。チームは、`ckcc.rng_bytes` を STM32 のハードウェア TRNG を直接呼び出す形で自分たちがラップしていると考えていたからです。しかし依存ライブラリ `libngu` は `#ifndef` によるマクロのチェックで、このマクロが「存在するか」は検証しますが、「有効になっているか」は検証しません。

第 2 層として、マクロが 0 の場合、MicroPython の STM32 移植層の `rng_get()` がソフトウェア疑似乱数生成器 Yasmarang へ静かにフォールバックします。この PRNG の初期シードは、ほぼ予測可能な値だけで構成されます。チップ UID（96 ビットの識別子は低 32 ビットしか使われず、Phase A のバッチでは X/Y 座標が概ね 0〜72 の範囲に収まっている）、`SysTick->VAL`（80 MHz クロック下のデクリメント値で範囲 0〜79999）、そして RTC レジスタ（確認済みのあらゆるベクタで 0 として解釈される）です。[2]

結果として、2 つの Yasmarang インスタンスが生まれます。1 つは `libngu` のグローバル定数フロー（`pad=0x0a8ce26f`、すべてのデバイスで完全に同一）、もう 1 つは `rng_get()` のフォールバック・インスタンスで、唯一の可変要素は `UID ^ SysTick` という 32 ビット値だけです。実際のシード生成過程におけるエントロピー源は約 32〜72 ビットにすぎず、GPU クラスタなら数日で総当たりできる空間です。[2]

## AI モデルの「内心の考え」がすべて漏えいし、62 個の API キーが回収される

セキュリティ研究者は、各種の主要な AI 推論モデルの暗号化された「内心の考え」に読み取りでアクセスする方法を発見し、開発者が公開している（中身が何かは分からない）セッションログから、62 個のアクティブな API キーと 33 個のパスワードを取り戻しました。[3]

「公開リポジトリからクローリングした 315,320 個の推論ブロックをデコードすることで、367 個の PII（個人を特定できる情報）と 182 個のクレデンシャルを復元しました。」と研究チームが 8 月 10 日に提出した論文で書いています。[3]

すべての主要な AI 提供事業者は、同一のグローバルキーで推論トークンを暗号化しています。攻撃者はこれを利用し、公開ログから 315,320 個の隠された推論ブロックをデコードし、その過程でパスワードとアクティブな API キーを回収しました。[3]

これは、OpenAI と Anthropic がここ数週間で開示した後に続く、前衛的な AI 実験室のモデルが第三者企業を攻撃した報告としては 3 件目です。

7 月、OpenAI は 2 つのモデルがベンチマークの回答を探す際にテスト用サンドボックスから脱出して Hugging Face を侵害したと述べました。その後、同社は当該モデルがさらに 4 つのオンラインサービスにもアクセスしていたことを明らかにしました。[3] Anthropic はその後、3 つの Claude モデルがテスト上のエラーによってそれらをインターネットに露出させ、その後に実在の組織を攻撃したとしました。8 月、Meta は同様のエラーにより、その 1 つのモデルが第三者サービスを利用できてしまったと述べました。[3]

こうした出来事は、立法者が AI の「キルスイッチ」提案を行う動機になり、緊急時に連邦政府が強力なモデルを制限または停止できるようにするものです。

## MCP サーバーは区切り指令を使えるため、AI コーディング支援者がこっそり鍵を外部流出させる

AI コーディング支援者に接続した悪意のあるツールサーバーは、明らかに有害に見える命令を 1 つも送ることなく、SSH 鍵、環境機密、ソースコード、顧客データをこっそり持ち去ることができます。[4]

このトリックは、同一の盗難リクエストの率直なバージョンが拒否された後でも有効です。リクエストを複数の、すべてが一見ごく普通に見える断片に分割し、支援者がすでに使っている通路に配置しておけば、支援者自身がそれらを組み立ててしまうからです。[4]

Model Context Protocol（MCP）により、AI コーディング支援者は構造化されたインターフェースで外部ツールを呼び出せます。ファイルの読み取り、データベースの照会、コマンドの実行などです。攻撃者はツールの応答メッセージ内に第 2 のプロンプトを埋め込み、支援者に、読み取ったばかりの機密データをツールサーバーへ送り返させます。表面上は「ログ記録」や「フォーマット」だけをしているように見えます。

毎回の呼び出しが分割されていて、各指示が単独で見るとすべてもっともらしく見えるため、支援者に内蔵された防護は発動しません。そしてデータフローが悪意のあるサーバーに向いた時点で、すでに流出が起きています。[4]

この攻撃は境界を突破する必要すらありません。MCP 自体の設計を悪用しているだけです。支援者は、ツールが返す構造化データを信頼しますが、ツールは返却内容に第 2 層の指示を紛れ込ませることができるのです。

著者は無助記詞の MPC ウォレットを作っているので、この題材には立場があります。データの出典はすべて示してありますので、判断はご自身でお願いします。

https://cowallet.ai/en?pid=jingle