AIがウォレットセキュリティを再構築している：Jameson Lopp氏、Coldcard盗難事件を受けて

Casa共同創設者のJameson Lopp氏によると、8,300万ドル以上ものColdcardビットコイン盗難事件の背景にある欠陥は、単一のハードウェアウォレットの故障以上のものです。これはサイバーセキュリティにおけるより広範な変化を示しており、人工知能が攻撃者も防御者もソフトウェアの脆弱性を発見するために必要な時間を短縮しています。

The BlockのThe Starting Block podcastで、Lopp氏は、大規模言語モデル（LLM）がバグ発見のコストを最小限に抑えることで、ソフトウェアセキュリティを変革していると主張しました。

「大規模言語モデルの進歩は、セキュリティ環境を劇的に変化させています」と彼は述べ、Coldcard事件はこの現象の最初の例の一つであり、多くのウォレットに影響を与えることが予想されると主張しました。

両刃の剣となる競争

Lopp氏によれば、これはハードウェアの故障というよりも、セキュリティソフトウェアの変化の問題です。AI搭載のコード分析は、資金豊富なセキュリティチームだけの特権から、主流のものへと移行しました。その結果、攻撃者は開発者が脆弱性を発見する前に、公開されたコードリポジトリから見逃された脆弱性にアクセスできるようになりました。

CoinkiteのCEO、Rodolfo Novak氏も、ファームウェアバグに対する自身の責任を認めつつ、同じ結論に達しました。彼によると、この事件は「新しいAIパラダイムの厳しい現実」であり、AI支援監査は従来の手動監査よりもはるかに迅速に欠陥を発見できる能力を持っています。

驚くべきことに、Cryptopolitanの以前のレポートでは、Coinkiteがハッキングされる前に、コード分析に人工知能アプリケーションを採用していたことが言及されていました。

Tradingviewの報道によると、その分析では脆弱性を検出できなかったことが示されており、攻撃者も防御者も同様のAI技術にアクセス可能であるため、欠陥を最初に検出した側に有利に働くという事実が浮き彫りになりました。

デバイス内部で実際に何が悪かったのか

一部のColdcardファームウェアバージョンにおけるリカバリーウォレットキーの生成方法に起因して、脆弱性が発生しました。New York Postによって報道されたBlockのBitcoinエンジニアリングおよびセキュリティチームが共有した情報によると、脆弱なデバイスは、適切なランダム性を使用する代わりに、特定の予測可能なチップ情報（プロセッサのシリアル番号やクロックデータなど）を使用して数値を生成していました。

その結果、サイバー犯罪者はウォレットで使用されたリカバリーフレーズを再構築し、ウォレットに物理的にアクセスすることなく資金を盗むことができました。

欠陥のあるファームウェアは2021年3月に導入され、バージョン4.21のリリース時にのみ修正されました。According to Coinkite、単にファームウェアを更新しても問題は解決しません。欠陥のあるバージョンを使用してウォレットを作成した個人は、新しいリカバリーシードを生成し、以前使用されたシードフレーズと密接に関連しているため、資金を移動させる必要があります。

Galaxy Researchによると、7月30日、犯罪者は約40分で1,196のウォレットから1,082.65 BTCを盗むことに成功しました。その後、Alex Thorn氏がGalaxyで確認した最後の波を含む、さらに多くの攻撃が発生しました。この最後の波は、以前の攻撃が単一署名（single-sig）ユーザーのみを対象としていたのに対し、マルチ署名（multi-sig）ウォレット保有者に向けられているように見えました。

人気のビットコイン評論家、Guy Swann氏は、この事件を慎重な仮想通貨保有者にとって「ビットコイン史上最大の被害」と述べています。

「信頼するな、検証せよ」が限界を迎える場所

Lopp氏にとって、この侵害はビットコインの最もよく知られた原則の一つの限界も露呈しています：「信頼するな、検証せよ」。

「それは良いスローガンですが、複雑なソフトウェアとハードウェアの検証が人口の99.9%にとって単に実行可能ではないことを理解する必要があります」と彼は言いました。

Lopp氏によれば、ユーザーは最終的に情報を検証するために第三者を信頼するようになります。独自のウォレットの使用能力を放棄するのではなく、Lopp氏は、複数のハードウェアウォレットとソフトウェアアプリケーションを利用することで、信頼を分散させることをユーザーに推奨しています。

FoundationのCEO、Zach Herbert氏は、ポッドキャストで同じ意見を示し、1つのケースだけで自己保管が失敗したと結論付けるのは「非常に危険」だと述べています。むしろ、業界はセキュリティ慣行を改善する必要があると提案しています。

ARK Investに関連するLorenzo Valente氏は、多くのユーザーが単に取引所のカウンターパーティリスクを「ソフトウェアリスク、ハードウェアリスク、サプライチェーンリスク、フィッシングリスク、バックアップリスク」に置き換えただけだと主張しました。

独立した監査の必要性

この出来事は、ベンダーの自己レビューに完全に依存する代わりに、独立した第三者によるファームウェア監査を求める要求を再び引き起こしました。Cryptopolitanは最近、オープンソースコードが十分なセキュリティを提供しているかどうかを議論する記事を公開し、Coldcard事件はこの議論のさらなる証拠となっています。

Tangemの最高技術責任者（CTO）、Andrew Lazutkin氏によれば、公開アクセス可能なコードが安全であると見なすべきではありません。彼は「セキュリティは、強力なアーキテクチャ、徹底的なテスト、そして独立した検証から生まれます」と説明しました。

Lopp氏は、主要なハードウェアウォレットの開示が「12回」発生しており、それらのすべての出来事が業界の改善に貢献したと信じています。次に答えるべき質問は、CoinkiteがAI搭載ハッカーが次の脆弱性を発見する前に、約束された技術的な事後分析とより広範な独立したセキュリティ評価を実装するかどうかです。