#coldcardtheftinvestigationadvances
「あなたの鍵ではないなら、あなたのコインでもない。」
鍵が予測可能だった場合を除いて。👀
Coldcardのセキュリティインシデントが、これまでで最大級のハードウェアウォレット窃盗捜査の一つにまで拡大したと報じられています。
これまでに判明している被害:
→ 約2,055 BTCが影響
→ 推定損失は約1億3,000万ドル
→ 脆弱性は約5年間存在
→ 大きな波では、41分で1,196のアドレスが流出
そして、ここからが怖い部分です。
攻撃者は、ウォレットに物理的にアクセスする必要がなかったとされています。
問題はBitcoinではありませんでした。
問題は「乱数」でした。
影響を受けた一部のデバイスは、シード生成中に、より弱い疑似乱数プロセスへフォールバックしてしまう可能性が報告されています。その結果、可能なシード空間は、想定よりもはるかに攻撃しやすくなります。
しかし、隠された罠がこちら:
ファームウェアを更新しても、古いシードが自動的に修正されるわけではありません。
脆弱な条件下で秘密が生成されていた場合、デバイスにパッチを当てても、その秘密が再びランダムになるわけではありません。
そして、ここがどんでん返し。
私たちはしばしば、オープンソースのコードは目が増えて安全性も高まると考えます。
でも、コードが公開されていることは、防御側が攻撃者より先にバグを見つけられることを保証しません。
Square Insight:
自己管理（セルフカストディ）は取引先（カウンターパーティ）のリスクを排除します。ソフトウェアのリスクを排除するわけではありません。
物理アクセスなしでコールドウォレットが侵害され得るなら、「コールドストレージ」とは実際に何を保証するのでしょうか？
#Bitcoin #Crypto #Security
$BTC