暗号資産（仮想通貨）ハードウェアウォレット大手のTrezorとFoundationは、Coldcardの脆弱性を突いた攻撃が発生したことを受け、ウォレット所有者を狙うフィッシングが急増していると相次いで警告した。
両社はいずれも、リカバリーフレーズを問い合わせることは決してないと強調している。
セキュリティ企業のProofpoint（プルーフポイント）は8月3日（現地時間）、Coldcardユーザーを標的としたフィッシングを確認したと公表した。
Coldcardを装う差出人が「協調的なハードウェア監査」への参加を求め、偽サイトのボタンからGitHub上のバッチファイルを実行させる。最終的に遠隔操作ツールScreenConnectが導入され、データや資金の窃取、ランサムウェア感染につながる恐れがある。
偽サイトのチャット窓口では、ボットではなく実在の人物が応対し、導入手順を案内しているという。
今回の脆弱性は、シード生成にハードウェア乱数生成器ではなくソフトウェア側の代替機能が使われていることで秘密鍵が推測可能になっていたものだ。
Coldcardの脆弱性を突いた攻撃でGalaxy Research（ギャラクシー・リサーチ）は、7月30日以降に少なくとも3回の大規模流出が確認され、約7300アドレスから計1596BTC、1億ドル（約160億円、1ドル＝160円換算）以上が盗まれたとしている。また、未確認の第4波を含めると約1億3000万ドル（約208億円）に達する可能性があるという。
同社のAlex Thorn（アレックス・ソーン）氏は、少なくとも15の攻撃者が脆弱性を悪用しているとみている。
日本では8月5日の時点で、金融庁やフィッシング対策協議会による本件固有の注意喚起は確認できない。
ただしColdcardは国内にも利用者がおり、シードの入力を求める連絡や「緊急のセキュリティ更新」を促す通知には絶対に応じないといった、基本的な自衛の原則を徹底する必要がある。
｜文・編集：井上 俊彦
｜画像：Shutterstock
