Galaxy Researchは31日、ハードウェアウォレット「Coldcard」の脆弱性を悪用したとみられる資金流出について、1196アドレスから計1082.65BTCが流出したと明らかにした。時価は約7020万ドルに相当する。

The Blockによると、Coldcardを手がけるCoinKiteは30日、Coldcard Mk3で生成されたシードに問題があると公表した。2021年3月公開のバージョン4.0.1以降でMk3上に生成したシードについて、利用者の資金が危険にさらされる可能性があると警告した。

その後、CoinKiteは対象を一部のMk4、Mk5、Coldcard Qのファームウェアバージョンにも拡大。影響を受ける全モデル向けに緊急ファームウェア更新の配布を始めた。

CoinKiteのCEO、ロドルフォ・ノバク氏は31日、謝罪文を公表し、今回のファームウェアの欠陥について責任を認めた。その上で、社内のレビュー工程で問題を検知できなかったと説明した。さらに、この脆弱性がAIによって発見された可能性にも触れ、「新たなAIのパラダイムが突きつけた厳しい現実」との認識を示した。

Galaxy Researchはその後、ソーシャルメディアで独自分析を公開した。ブロックエンジニアが特定し、クレイ・ギャレット氏が共有したパターンを基に資金フローを追跡した結果、30日午前1時10分から1時51分までの間に、1196アドレスから1082.65BTCが流出したことを確認したとしている。

CoinKiteの告知は、Coldcardのウォレットからビットコインが流出したとの報告がオンライン上で相次いだ後に出された。Galaxy Researchは、脆弱性の性質上、Coldcardで生成されたアドレスは今後も攻撃対象になり得ると付け加えた。

CoinKiteは利用者に対し、ファームウェアを更新したうえで新たなシードを生成するよう案内している。また、資金をすべて移す前に少額を新しいウォレットへ移して動作を確認し、移行完了までは既存のバックアップを保管するよう求めた。