Coldcardの脆弱性により4500以上のアドレスが影響を受け、約9000万ドル相当のビットコインが盗まれた

Odaily星球日报訊 Krakenの最高セキュリティ責任者Nick Percoco氏は、Coldcardの5年間にわたるシード生成の脆弱性がハードウェアウォレットの独立テストのギャップを露呈したと述べた。監査担当者は、期待される乱数生成器が存在することを検証したものの、実際にプロダクションファームウェアがその生成器を呼び出しているかどうかは検証しなかった。

この脆弱性は現在進行中の攻撃に関連しているとみられ、日曜日現在、4500以上のアドレスが影響を受け、約9000万ドル相当のビットコインが盗まれた。Coinkiteは、このソフトウェアの脆弱性が2021年3月から存在していたことを開示しており、Coldcardは新しい暗号ライブラリを統合する際に、ウォレット作成プロセスを誤って脆弱なMicroPython生成器に誘導していた。

Percoco氏は、ハードウェアウォレットにはNIST SP 800-90BやBSI AIS-31のようなエンドツーエンドの検証プロセスが欠如しており、既存のセキュリティエレメントのCommon Criteria、一部のCSPN認証、およびベンダー委託監査では、検証済みのエントロピー源をプロダクションファームウェアが実際に呼び出していることを体系的に強制検証していないと指摘した。

Coldcardは、木曜日に脆弱性を確認して以降、すべてのデバイスの出荷を一時停止し、施設内にある影響を受けたファームウェアを含むすべての残存デバイスを破棄したと発表した。Coinkiteは影響を受けたデバイスのユーザーに対し、デバイスを廃棄しないよう推奨し、法務チームは状況に応じて複数の司法管轄区域の法執行機関と調整すると述べている。