ハードウェアウォレット「Coldcard（コールドカード）」の脆弱性に関連するとみられる大規模なビットコイン（BTC）流出が、7月30日から相次いで確認されている。

追跡サイト「コールドカード・スイープ・ウォッチ」の執筆時点の情報によると、確認済みの流出額は少なくとも約1,366BTC（約8,620万ドル、約134億円）となっている。

シード生成時の乱数強度に不具合が発生

コールドカード提供元のコインカイトは30日公開の公式ブログで、対象ファームウェアで生成されたシードの安全性が、本来想定していた水準を下回る不具合があったことを明かした。シードの生成に使われる乱数の強度が不足したことで、条件によっては資金が危険にさらされる可能性があったとしている。

一方、コールドカード・スイープ・ウォッチは、流出資金に複数の異なる移動パターンが確認されたと説明。複数の攻撃者がシード生成時の不具合を悪用しているとの見方を示した。同サイトは執筆時点で、流出資金の移動先として312アドレスを追跡している。

ただし、同サイトは流出額について、被害総額ではなく「取引単位で確認できた最低額」と説明している。追跡対象は特定済みのクラスターに限られているため、未発見の流出が存在する可能性もあるという。

資金の一部はETH交換後にオンラインカジノへ

流出資金の一部については、その後の移動経路が追跡されている。ギャラクシー・デジタルのリサーチ責任者アレックス・ソーン氏は2日、約30BTCを失った被害者の資金のうち17BTCが、THORChainを経由してイーサリアム（ETH）に交換されたとXで報告した。

同氏によると、その後229.72497255ETH、約44万5,000ドル（約6,960万円）相当がオンラインカジノ「Duel.com（デュエル）」に入金されたという。

被害者側は資金凍結を要請したが、デュエル側は警察からの連絡を求めたとされる。ソーン氏は「言語道断な振る舞い」としてこの対応を強く非難した。

公式は対象者に新シードへの移行を呼びかけ

コールドカードは影響を受けるモデル向けに、修正版ファームウェアを公開している。ただし、更新だけでは生成済みのシードは修復されないとしており、対象利用者に新しいシードへの移行を呼びかけた。

また同社は2日、ストアとニュースレターを通じて連絡可能だったすべてのメールアドレスへの通知を完了したとXで報告。正式な技術レビューについては、今後公開する予定としている。

確認された資金流出額は検証済みの最低額に過ぎないため、今後の調査次第では被害規模がさらに拡大する可能性もある。未発見の流出先に加え、追跡中の資金をどこまで凍結・回収できるかがこれからの焦点となりそうだ。

関連：オスティウムでオラクル悪用の資金流出──推計は19.2億〜38.5億円
関連：サマーファイナンスがハッキング被害──フラッシュローン悪用で約9.7億円流出

※価格は執筆時点でのレート換算（1ドル＝156.3円）