Kraken 最高セキュリティ責任者：Coldcard の脆弱性により 9,000 万ドル超のビットコインが盗まれた、ハードウェアウォレット業界のテストメカニズムは早急な見直しが必要

TechFlow によると、8 月 3 日、Cointelegraph の報道によれば、Coldcard ハードウェアウォレットメーカーの Coinkite は、同社製のデバイスに 2021 年 3 月から現在まで 5 年にわたり存在していた乱数生成器（RNG）の脆弱性を開示した。この脆弱性は、ファームウェアのアップグレード時に、ウォレットシードの生成が本来設計されていた真乱数生成器（TRNG）ではなく、安全性の低い MicroPython 擬似乱数生成器（PRNG）に誤ってルーティングされたことに起因する。コードレビューでは TRNG コードの存在のみが検証され、実際に呼び出されているかどうかは確認されなかったため、脆弱性は長期間発見されなかった。

現在までに 4,500 以上のアドレスが攻撃を受け、約 9,000 万ドル相当のビットコインが盗まれた。Kraken の最高セキュリティ責任者（CSO）である Nick Percoco は、この事態はハードウェアウォレット業界への「警鐘」となるべきだと述べ、独立した第三者テストの仕組みの導入を呼びかけ、生産ファームウェアが実際に呼び出すエントロピー源が認証されているかを強制検証するよう求めた。Coinkite は脆弱性を確認した後、すべてのデバイスの出荷を停止し、影響を受けた在庫を廃棄した。同時に、複数の国の法執行機関と協力して責任者の追跡を行うことを表明した。