ビットコインのハードウェアウォレット「コールドカード」を開発するコインカイトは、7月30日に公表したセキュリティインシデントへの対応として、顧客データの保持方針を一時的に変更したことを発表しました。法的手続きに関連する記録を保存する法的義務が生じたため、通常行っている顧客記録の自動空欄化を当面停止します。製品のシードフレーズ生成不具合に起因する大規模な資産流出が指摘される中、法的な調査対応が同社のプライバシー保護運用にも影響を及ぼす事例として注目されます。
法的手続きに伴う顧客データ保持方針の変更
コインカイトは通常、顧客記録を120日後に自動的に空欄化し、メールアドレスと居住国のみを保持する運用を行っています。また、商品の配送後には利用者が希望すれば120日を待たずにデータの空欄化を依頼できる仕組みも提供していました。
しかし今回のセキュリティインシデントを受け、同社は自動的なデータ空欄化を一時停止しました。現在進行中または今後想定される法的手続きに関連する可能性がある記録を保存する法的義務が生じたためと説明されています。
保持された顧客データは安全に保管され、アクセス権限を持つ担当者のみに制限されるほか、法的義務への対応以外の目的には利用されないとしています。また、法的に許可され次第、通常のデータ空欄化を再開する予定です。なお、従来通りのデータ保持方針の適用を希望する顧客については、サポート窓口へ連絡することで今回の措置の対象外になると案内されています。
シードフレーズ生成の不具合と被害推計
今回の方針変更の背景には、コールドカードのシードフレーズ（ウォレットを復旧するための単語列）生成時に、十分な乱数（エントロピー）が確保されなかった不具合があります。この不具合により、攻撃者が候補となるシードフレーズを再現し、そこから秘密鍵を導出できる可能性が生じていました。
コインカイトは影響を受ける利用者に対し、修正版ファームウェアを導入した上で新しいシードフレーズを生成し、資金を移動するよう呼びかけています。ファームウェアを更新するだけでは、すでに生成された既存のシードフレーズの脆弱性は解消されません。
コインカイトは不具合に関連して利用者の資産が盗まれた事案が発生したことを認めており、影響を受けた顧客への支援に注力していると説明されていますが、被害者への補償方針や被害規模の具体的な数字は明らかにしていません。
一方で、ギャラクシーの調査部門であるギャラクシー・リサーチは、被害者からの報告などに基づき、1,778.84BTC（約1億1,270万ドル）が8,600超のアドレスから盗まれたことを高い確度で確認したと公表しました。未確認の事例などを含めると、被害は2,417.35BTC（約1億5,300万ドル）に達する可能性があると推計されています。
ポイント
- コインカイトは法的手続きに関連する記録保存の法的義務に対応するため、通常120日で行う顧客データの自動空欄化を一時停止しました。
- コールドカードのシードフレーズ生成時の乱数不足により、攻撃者が秘密鍵を導出できる脆弱性が原因となっています。
- 脆弱性解消にはファームウェア更新だけでなく、新しいシードフレーズの生成と資金移動が必要です。
- ギャラクシー・リサーチは被害規模を1,778.84BTC以上と推計していますが、コインカイト側は公式な被害額や補償方針を公表していません。
- ハードウェアウォレットにおけるセキュリティ事故が、顧客のプライバシー保護方針の変更や法的手続きへ波及している点で注目されます。