Coldcardのレビュー

お使いのモデル向けの修正ファームウェアをインストールするまで、Coldcardで新しいシードを生成しないでください。また、現在のシードをそのファームウェアより前にColdcardで作成した場合は、コインを新しいシードへ移してください。Coinkite自身の勧告はこの点について異例なほど明確で、その背景にある欠陥は5年以上にわたって存在していました。

何が起きたか：2021年3月にCoinkiteはColdcardの楕円曲線コードを、libNgUと呼ばれる組み込みライブラリを通じてBitcoin Coreのlibsecp256k1へ移しました。暗号自体は健全でしたが、ビルドはそうではありませんでした。リンク時のエラーにより、ハードウェア乱数生成器に到達すべき呼び出しが、代わりにMicroPythonの汎用ソフトウェア生成器に解決されたため、シードは設計が意図したよりはるかに少ない乱数から生成されました。Coinkiteは実効的な探索空間を、Mk2とMk3で約40ビット、Mk4、Mk5、Qで約72ビットと見積もり、目標の128ビットと対比させたうえで、いずれの数値も暫定的なものだと述べています。

重要な例外が2つあり、Coinkiteはその両方を明示しています。公平で独立した非公開のサイコロを少なくとも50回振って作成したシードは、この問題だけではリスクにさらされません。サイコロが、デバイスが供給しなかったエントロピーを供給したからです。Coldcardは各回の出目をデバイスのエントロピーとともにハッシュ化しており、50回から98回の出目はそれだけで少なくとも128ビットに寄与します。また、強力で固有のBIP-39パスフレーズは独立した障壁であり、シードのエントロピーが減少しただけでは突破できません。ただしそれは何も修復しないため、Coinkiteはパスフレーズ利用者にも可能な限り早く移行するよう引き続き伝えています。TAPSIGNER、OPENDIME、SATSCARDは別のコードベースで動作しており、影響を受けません。

損失の規模について、Coinkiteの勧告はドルやビットコインの総額を挙げていません。TRM Labsは自らの分析を2026年のハードウェアウォレットに対する最大の悪用として公表し、約1.16億ドルとしました。Galaxy Researchはその額を1.3億ドルとし、さらに増え続けているとしています。これらは確定した数値ではなく、2つの外部による推計として扱ってください。

そのすべてを踏まえても、Coldcardの本質は変わっていません。異なるベンダー製の2つのセキュアエレメント、再現可能なオープンソースファームウェア、強要対策用のデュレスPINとブリックPIN、そしてQR、microSD、NFC、仮想ディスクによる署名を備えたビットコイン専用の署名器で、これらのデータ経路はすべて初期設定で無効になっています。CoinkiteはQを$289、Mk5を$189で販売し、新規の個体は修正済みファームウェアで出荷されると述べています。この記録が「注意」に位置するのは、所有者が負担している移行の負担のためであり、セキュアエレメントが機能しなかったからではありません。