暗号資産ハードウェアウォレット「Coldcard（コールドカード）」の脆弱性を悪用した不正流出問題において、新たな資金移動となる「第4波」が発生した可能性が浮上している。
Galaxy Researchのリサーチ・ヘッドを務めるAlex Thorn氏が3日にXで公開した投稿によると、ビットコイン（BTC）のブロック960,778から960,792にかけて、約388.93 BTC（218件のトランザクション、462の被害アドレス）が新たに流出したとみられている。
本件は、2021年3月以降に提供されたソフトウェアにおいて、秘密鍵の作成に必要な「乱数（暗号を作るためのランダムな数値）」を生成するプログラムに不備があったことに起因すると指摘されている。
暗号のパターンが限られたことで、第三者がオフラインで秘密鍵を割り出しやすい状態が生じていたとされる。
すでに第1波から第3波にかけて累計約1367BTCの流出が確認されていたが、仮に今回の事象が同一の攻撃によるものであれば、累積被害額は1750BTC（約170億円相当）を超えた計算になる。
今回の動きでは、被害者のアドレスから新たな送金先へと直接資金が移動する形式が報告されている。
また、未承認の取引が留まる「メンプール」上の攻撃取引には、取引手数料を後から増やして優先度を上げる機能「RBF（Replace-By-Fee）」が適用されているとされる。
送金が未承認の状態であれば、被害者側がより高い手数料を設定してRBFを実行することで送金処理を上書きし、安全なアドレスへ資金を回収できる可能性があると分析されている。
開発元のCoinkiteは修正用の更新プログラムを提供しているものの、作成済みのシードの安全性は回復しないため、新規シードの作成と速やかな資金の退避が推奨されている。
｜文：栃山直樹
｜画像：Adobe Stock
