KeepKeyのレビュー

KeepKeyには1つ具体的な問題があり、それは通常非難される問題ではありません。2019年にKraken Security Labsは、約75ドル相当のグリッチ機器を使って約15分間デバイスを保持した者なら誰でもKeepKeyからシードを抜き取れることを示しました。これにより暗号化されたシードが得られ、それを保護する1～9桁のPINはその後ブルートフォースで突破するのは容易です。Krakenの結論は、欠陥はコードではなくマイクロコントローラーにあるため、ファームウェアの更新では塞げないというものでした。守るべき相手が強盗ではなくマルウェアやフィッシングである場合にのみ購入し、いずれにせよBIP39パスフレーズを有効にしてください。

KeepKeyはこの点を何も隠していません。これは明確に述べておく価値があります。製品ページではチップ（STM32F405 ARM Cortex-M4）を明示し、ハードウェアの回路図、PCBレイアウト、部品表をGitHubで公開しており、「独自のセキュアエレメントなし」を省略ではなく設計上の選択として挙げています。すべての部品が既製品であるため、誰でも基板を監査したり自作したりできます。これは実際の論拠であり、ハードウェア設計とデバイスOSが非公開のLedgerにはできない主張です。その代償が上記の攻撃です。汎用マイクロコントローラーは基板を手にした者から秘密を守るようには作られておらず、Krakenの論文はこの種のチップについてまさにそう述べています。

KeepKeyの自社サイトはブランドの起源を2014年とし、コロラド州デンバーから発送しています。際立っていたのは1点、3.12インチのOLED画面で、当時最大であり、デバイス上でアドレスを確認するのが実に読みやすくなりました。取引所のShapeShiftは2017年8月に同社を買収し、ユーザー基盤を拡大するため価格を大胆に引き下げ、ShapeShiftが2021年7月にDAOへと解散した際にウォレットはその手を離れました。

ファームウェアは維持されており、これは店頭では見えないため明確に述べておく価値があります。keepkey.comはGen 3デバイスを$59.95で販売し、生涯無料のファームウェア更新を約束していますが、リリース履歴は公開していません。github.com/keepkey/keepkey-firmwareのリポジトリに実際の記録があります。バージョン7.10.0は2025年2月にTaproot出力を追加し、7.14.0は2026年4月にSolana、Tron、TON、Zcashを追加し、7.14.1が2026年6月に続いてさらなる署名タイプと、そのノートが署名検証およびメッセージ処理全体のセキュリティ強化と呼ぶものを加えました。リリースタグは署名されており、各リリースは再現可能なDockerビルドの期待ハッシュを公開しているため、書き込むバイナリをソースと照合できます。開発はこの分野の他社より遅く、2024年3月から2025年2月のリリースまで11か月の間隔がありましたが、遅いことは放棄と同じではありません。

したがって、ここでの警告は放置ではなくハードウェアに関するものです。KeepKeyに実際の貯蓄を保管する場合は、デバイスに書き込まれないため上記の攻撃を生き延びるBIP39パスフレーズを有効にするか、セキュアエレメントを中心に設計されたデバイスに移行してください。Trezor Safeモデル、現行のLedger、またはBitBox02です。移行する場合は古いシードをインポートするのではなく新しいデバイスで新しいシードを生成してください。古いシードは既知の物理的弱点を持つハードウェアでその生涯を過ごしたからです。