ビットコインハードウェアウォレット大手、8,800万ドル超の盗難を受け一部在庫を廃棄

ビットコイン保有者向けの人気ハードウェアウォレットを手がける企業が、ファームウェアの脆弱性を突いた攻撃によって顧客から8,800万ドル超のビットコインを窃取され、在庫の一部廃棄という異例の対応を余儀なくされました。

カナダのCoinkite社は、顧客がビットコインを盗まれているとの報告が先週相次いだことを受け、Coldcardデバイスの残存在庫を廃棄したと発表しました。同デバイスは、取引所ではなくオフラインでビットコインを安全に保管するために利用されています。同社は先週、2021年3月に既に発見されていた脆弱性が、現在この攻撃キャンペーンに悪用されていることを確認したと明らかにしています。 

サイバーセキュリティ企業のGalaxy Researchは、今回の攻撃者たちが4,585個のアドレスから少なくとも1,367.05BTC(約8,860万ドル相当)を盗み出したと述べています。

Coldcardは日曜日の声明で、資金移動を進めるため顧客と協力してきたことを明らかにしました。 

「該当デバイスをお持ちの場合は、絶対に廃棄しないでください。資金が回収された場合、そのデバイスが不可欠になる可能性があります。当社の法務チームは、責任者の特定に向けた取り組みを支援するため、必要に応じて複数の司法管轄区の法執行機関と連携します」と同社は述べています。 

「当社は、脆弱性のあるファームウェアで製造された残存のCOLDCARD在庫を廃棄しました。また、脆弱性が確認された時点で出荷を停止しています」

Coldcardはまた、今後この問題を防止するとするパッチ適用済みファームウェアを公開しました。 

同社は続報の中で、同デバイスには高セキュリティのシステムロックが備わっており、ユーザーが初期化するまでアップグレードできない仕組みになっていると説明しています。そのため、「脆弱性のあるファームウェアを搭載したまま出荷し、ユーザーがアップグレードを見落とすリスクを負う」わけにはいかなかったといいます。 

「最も安全な対応は、影響を受けた在庫をすべて廃棄し、新しい修正済みファームウェアを搭載したものだけを出荷することでした」と同社は説明しています。 

被害者への補償を行うかどうかについて、同社はコメント要請に応じていません。 

ブロックチェーン分析企業のChainalysisによると、Coldcardの脆弱性悪用による最大級の被害者2名の損失は合計400万ドルに上り、数十人規模のビットコイン保有者が名乗り出て、SNS上で自身の被害について語っています。 

Chainalysisは次のように述べています。「今回のColdcardハッキングを分析したところ、攻撃者は一連の攻撃の早い段階で高額ウォレット(180万ドル相当の被害者を含む)を狙い撃ちしていたことが判明しました。このパターンから、攻撃者は事前に被害者となるウォレット群を調査していたと考えられます」 

「攻撃者が最も価値の高いウォレットを優先的に狙ったことで、盗まれた累計額は最初の10分間だけで約3,000万ドルにまで急増しました」

FBIは、今回のキャンペーンを捜査しているかどうかについてコメントを拒否しています。 

Coinkiteの幹部社員は今回のインシデントについて、人工知能(AI)を活用したコードレビューも一因だと指摘しています。同氏は、AIによるコードレビューが「業界で最も経験豊富な専門家をも上回るスピードで、潜在的なバグを発見すること」をサイバー犯罪者に可能にさせたとの見方を示しています。