絶対安全ビットコインウォレット「COLDCARD」200億円流出

暗号資産投資家を激震させる事件が起きました。

絶対安全と考えられていたコールドウォレットから約200億円分のビットコインが流出したのです。

何が起きた？

ふつう、スマホアプリや取引所に暗号資産を置いておくと、ネットを通じてハッカーに盗まれる心配があります。

そこで、ネットから完全に切り離したコールドウォレットの中にカギをしまい、安全に保管するのがCOLDCARDです。

ネットに繋がっていないから「遠隔操作でハッカーに盗まれることは絶対にない」と皆が信じていました。

しかし、気が付くといつのまにか自分のビットコインが勝手に送金されている人が現れ、被害規模は1500BTC以上、推計2055BTC（約200億円）が流出しました。

どうやって盗んだ？

まず、COLDCARDは利用者がウォレットを作るときに「シードフレーズ」と呼ばれる12個や24個の英単語を作ります。

シードフレーズは、暗号資産を動かすために使われる秘密鍵を作り出すマスタキーです。

通常、シードフレーズは完全にランダムで作られるため、第三者が言い当てることはほぼ不可能です。

しかし、COLDCARDの特定バージョンに、シードフレーズを作る仕組みに不具合があり、作られるシードフレーズの候補が、本来よりも予測しやすくなっていました。

犯人はこの不具合を知り、コンピューターを使って「このCOLDCARDなら、どのようなシードフレーズを作る可能性があるか」を大量に導き出しました。

次に、導き出したシードフレーズからビットコインアドレスを作ります。

ビットコインアドレスは、コインを受け取るための口座番号のようなもので、取引履歴や残高はネット上で誰でも確認できます。

犯人は、導き出したアドレスの中に、実際にビットコインが入っているアドレスがあるかを検索します。

検索ヒットすれば、そのアドレスを管理している正しいシードフレーズを突き止めたことになり、コインを自由に移動できます。

そして犯人はアドレスを見つけ、ウヒヒウヒヒと、自分が管理するアドレスへ送金しました。

この事件の何が凄い？

犯人はウォレット本体に侵入していない点です。

犯人は被害者の家に入らず、被害者の端末も操作せずに盗んだ点です。

例えるなら、鍵付きの金庫を破壊して盗んだのではなく、鍵の形状の弱点をもとに、外部で合鍵を作って金庫を開けた。

そのため、ウォレットをネットから遮断して保管していた利用者もビットコインを盗まれる被害となりました。

被害は取り戻せるか？

無理でしょう。

捜査機関が盗難コインを追跡し、中央集権取引所にコインが入金された瞬間に口座凍結できればチャンスはあります。

しかし、ハッカーはミキサーなどで資金洗浄するため、回収率は非常に低いのが現状です。