最重要★★★★★Techmeme
Coldcard に暗号化されていない秘密鍵生成バグ、$70M を超えるビットコイン流出
30秒で把握
- 1Coldcard ファームウェアバグで秘密鍵生成が計算可能に・1,196 ウォレットから $70M 盗難・41 分間で実行
- 2Mk2・Mk3・Mk4・Q・Mk5 が影響・ユーザーは脆弱性露出判定不可・オフラインで秘密鍵復元された
- 3ウォレットデバイスは一切接触されず・攻撃者は blockchain データプロバイダーのアカウントで追跡・当局通知済み
要約
Coldcard ハードウェアウォレットのファームウェアに秘密鍵生成ロジックの脆弱性が存在し、攻撃者が 7 月 30 日 41 分間に 1,196 個のウォレットから 1,082.65 BTC (約 $70M) を盗難した。脆弱性により、本来計算不可能とされた種子フレーズが約 40 億個の可能性に限定され、攻撃者はウォレットデバイスに一切接触せずオフラインで秘密鍵を復元できた。Mk2・Mk3 と Mk4・Q・Mk5 で影響範囲が異なり、ユーザーは自身が脆弱なファームウェアで鍵生成したか検証する手段がない。攻撃者はブロックチェーンデータプロバイダーの有償アカウントを使用した痕跡が特定されており、当局に通知済み。
あなたへの影響
この記事が日本のエンジニアに与える影響と、今日取るべきアクションは、Personal会員向けに掲載しています。
クレカ不要・いつでも解約