ハードウェアウォレット製造元のコインカイトは、旧モデルであるCOLDCARD Mk3において、生成されたシード（ウォレット復元用の秘密鍵）に資金流出のリスクをもたらす脆弱性の可能性があると発表しました。対象は特定のファームウェア以降でシードを作成した端末であり、同社は利用者に注意を呼びかけるとともに資金の保護および移行手順を示しています。セルフカストディ端末における鍵生成の安全性が問われる事例として、Web3ビジネスにおける暗号資産管理の厳格化の観点から注目されます。
Mk3におけるシード生成脆弱性と影響を受ける対象
コインカイトの発表によると、同社のハードウェアウォレット「COLDCARD Mk3」において、2021年3月に配信されたファームウェア4.0.1から最終版である5.0.3までのバージョンで生成されたシードに資金流出のリスクがある可能性があるとされています。この警告は早期分析に基づくものであり、同社は継続して詳細な技術検証を行っています。
一方で、後継モデルであるMk4、Mk5、およびQについては、初期の調査において本脆弱性の影響を受けていないと公表されています。また、影響を受ける対象のMk3で生成されたシードであっても、BIP-39パスフレーズ（本体のPINコードとは別に設定する要素）を設定していた場合は、資金に対するリスクが最小限に抑えられるとされています。
推奨される対応策と安全な資金移行手順
コインカイトは対象端末の利用者に対し、暫定的な対応と恒久的な資金移行の手順を示しています。Mk3を当面使い続ける場合は、強力で固有のパスフレーズを新規設定し、8桁のフィンガープリント（XFP）の確認と少額の試験送金を行った上で残高を移行するよう推奨されています。
恒久的な対応としては、影響を受けていないMk4やMk5などの新しいデバイスで新規シードを生成し、受け取りアドレスの検証とテスト送金を経て資金を安全に移送することが推奨されています。また、上級者向けの手段として、ファームウェア4.1.9を導入した端末でサイコロを99回以上振り、端末の乱数生成機能を使わずにハッシュ化してシードを取り込む方法も提示されています。
ポイント
- COLDCARD Mk3のファームウェア4.0.1から5.0.3で生成されたシードに資金流出リスクの懸念が示された点
- 後継機のMk4、Mk5、Qは影響を受けておらず、BIP-39パスフレーズ設定済みのシードはリスクが抑えられる点
- 資金保護に向けてテスト送金や新デバイスへの移行といった厳格な対応手順が案内されている点