PANews 8月3日、CoinDeskの報道によると、暗号資産のセキュリティ事件が続いている中、Coldcardハードウェアウォレットに関連する脆弱性攻撃とみられる第4波の資金移動が発生し、累計損失額は約1億1400万ドルに達する可能性がある。

Galaxy Researchの責任者であるAlex Thorn氏の分析によれば、Coldcardウォレットアドレスを標的とした新たなビットコインの「掃討」（sweep）攻撃が進行中である。今回の攻撃トランザクションではビットコインの「Replace-by-Fee（RBF、手数料置換）」機能が有効化されており、影響を受けたユーザーは、トランザクションが承認される前に自身のアドレスがビットコインのメモリプール（mempool）に現れた場合、より高い手数料を支払って攻撃者の取引を上書きし、資金を安全なアドレスへ移す機会が残されている。

この攻撃は最早7月30日に発生し、第1波では41分間で1,196のアドレスから約1,083 BTCが移動した。その後の2波の攻撃により、確認済み損失は約1,367 BTCに拡大し、4,585のアドレスが関与した。第4波の集計が確定すれば、7月30日以降で累計約1,816 BTCが移動され、現在のレートで約1億1400万ドル相当、5,200超のアドレスに影響が及んでいる。

研究者らは、今回の脆弱性はColdcardの2021年3月の特定バージョンのファームウェアに起因するとみている。当該バージョンでは、ウォレットシードの生成にチップのハードウェア乱数源ではなく、予測可能なソフトウェア乱数生成器を誤使用しており、一部の秘密鍵がオフラインで推算された可能性がある。Coldcardの製造元であるCoinkiteは緊急のファームウェアアップデートを公開し、影響を受けたユーザーに対し、新たに生成したシードから作成したウォレットへ資産を移すよう推奨している。

Alex Thorn氏は、現時点で被害者からの直接の報告はなく、判断は主にオンチェーンの取引パターン分析に基づくと述べた。ただし、攻撃取引の一部が未承認状態にあることから、ユーザーに対応を促すため早期に情報を開示したという。セキュリティ調査によると、今回の攻撃は主にシングルシグウォレットに影響を及ぼしており、マルチシグウォレットへの波及は今のところ発生していない。影響を受けたユーザーは直ちにColdcardデバイスで生成されたウォレットアドレスを確認し、残存する資産を可及的速やかに移転する必要がある。