コールドカード公式Xに偽の「緊急セキュリティ告知」 「ログイン記録なし」

「フィッシングリンクを含む投稿がこのアカウントからどのように公開されたのか調査している」。ビットコイン専用ハードウェアウォレットのコールドカード（COLDCARD）は10月11日午後2時46分（韓国時間）、公式Xアカウントでこう告知した。その数時間前、同じアカウントに「緊急セキュリティアップデート」をうたう偽の投稿が掲載され、同社はこれを削除したうえでリンクを開かないよう呼びかけた。公式ウェブサイトはcoldcard.comのみだとしている。

コールドカードは7月、シード（リカバリーフレーズ）生成の欠陥が明らかになり、1億ドル相当を超えるビットコインが盗まれたウォレットだ。当時同社は、欠陥のあるファームウェアで作成したシードを新しいシードへ移すよう告知しており、今回の偽投稿も同じ「移行」案内の形をとっていた。

7月の盗難から偽告知まで

1. 7月30日攻撃者が欠陥のあるシードで作られたウォレットから資金を抜き取り始めた。ブロックチェーン分析企業TRM Labsによると、最初の25分間で約500のウォレットから約594BTCが流出した。
2. 7月30日コールドカードを製造するCoinkite（コインカイト）がセキュリティ勧告を出し、該当ファームウェアで作成したシードを新しいシードへ移すよう案内した（8月1日更新）。
3. 8月5日TRM LabsはGalaxy Researchの集計を引用し、被害が約1,816BTC、約1億1,600万ドル、5,200超のアドレスに拡大したと明らかにした。
4. 10月11日の日中コールドカード公式Xに「新たな重大な脆弱性」をうたう投稿が掲載され、その後削除された。
5. 10月11日14時46分コールドカードが調査中だと告知した。
6. 10月11日15時7分コールドカードがXのサポートアカウントに緊急調査を公開で要請した。

時刻は韓国時間で、7〜8月の日付は各発表に基づく。

修正済みファームウェアを「危険な版」と偽る

コールドカードが調査告知に添付した偽投稿の画面によると、投稿は「新しいCOLDCARDファームウェアでシード生成に影響する新たな重大な脆弱性を特定した」として、該当する版でシードを作成した場合は今すぐ資産の移行を始めるよう求めていた。誘導先はmigrate.coldcardwallet.ioで、公式ドメインに似せたものだった。

投稿が「確認すべき版」として挙げたのは、Mk4・Mk5の5.6.0以降、Qの1.5.0Q以降、Mk2・Mk3の4.2.0以降だった。Coinkiteの公式勧告では、これらは7月の欠陥を修正した版にあたる。偽投稿は「以前の勧告で扱った問題とは別の発見だ」とし、すでにファームウェアを更新した人やウォレットを移行した人も、新しい案内を見て追加の対応が必要か確認するよう記していた。

"A phishing post appeared on our account, yet we can find no corresponding login, session, or access record. Our credentials and offline 2FA remain secure."（フィッシング投稿がアカウントに掲載されたが、対応するログイン、セッション、アクセスの記録は見つからない。当社の認証情報とオフラインの二要素認証は安全だ）

コールドカード公式X（Xサポートへの投稿）

「ログインの痕跡がない」との主張

コールドカードは、このアカウントが2017年からオフラインの二要素認証と厳しく制限したアクセス方式を使ってきたと説明した。同社はXサポートへの投稿で、今回の件がプラットフォーム側または管理者権限による不正アクセスの可能性があるとの懸念を示した。アカウントのすべてのアクセス権限を見直しており、確認できた内容があれば追って知らせるとしている。

偽投稿を見て資金を移した被害があったかどうかは、まだ分かっていない。投稿がアカウントに掲載された経緯も確認されていない。

本物の勧告は変わらず

Coinkiteの公式勧告によると、7月の欠陥はMk2・Mk3のファームウェア4.0.1〜4.1.9、Mk4・Mk5標準版の5.6.0より前、Q標準版の1.5.0Qより前などで作成したシードが対象だ。ファームウェアを更新しても作成済みのシードは修正されないため新しいシードへの移行が必要で、独立したサイコロを50回以上振って作ったシードは例外となる。勧告は「COLDCARD端末そのものがハッキングされたり、遠隔で乗っ取られたりしたわけではない」とし、新しいウォレットに少額を送って確認してから全額を移すこと、パスフレーズをウェブサイトに入力しないことを案内している。

ハードウェアウォレットをめぐる事故は今月に入って相次いでいる。レジャー（Ledger）は11日未明、東南アジアの販売店CryptoBilis（クリプトビリス）経由で販売された被害者の端末1台から無許可の部品を確認したと明らかにした。ビットコインは12日午前7時33分、韓国の取引所アップビットで1億1,335万2,000ウォンで取引された。