ColdcardメーカーCoinkite、ファームウェア脆弱性の疑いで提訴
TREE NEWS 報道： オンタリオ州高等裁判所に提起された集団訴訟は、Coinkiteが製造するColdcardハードウェアウォレットのファームウェアビルドエラーにより、弱い擬似乱数生成器（PRNG）が導入され、ウォレットのシードフレーズが予測可能になったと主張している。訴状はCoinkiteと共同創業者のRodolfo NovakおよびPeter D. Grayを被告として名指ししている。訴えによると、2021年3月から使用されていた欠陥ファームウェアはMicroPythonのYasmarang PRNGに切り替わり、ニーモニック生成のランダム性を損なった。攻撃者は2026年7月30日からこの欠陥を悪用し、最初の25分間で約594 BTCを送金し、累積損失は1億4000万ドルを超えたとされる。訴訟はさらに、両創業者が遅くとも2025年5月までに欠陥を認識していたと主張している。
技術的分解：PRNGエラーがどのように1億4000万ドルの負債となったか
訴訟の核心は、MicroPythonに含まれる非暗号学的に安全な乱数生成器であるYasmarang PRNGにある。これがニーモニックシードの生成に使用されると、予測可能な出力を生み出し、攻撃者が秘密鍵をブルートフォースまたは再構築できる可能性がある。ハードウェアウォレットは、オフラインでエントロピーを生成するはずであるという理由で信頼されている。そのプロセスの欠陥は、セルフカストディの核となるセキュリティモデルを損なう。594 BTCの25分間の盗難は、事前計算されたテーブルやリアルタイムのシードクラッキングを使用した、高度に自動化された攻撃を示唆している。
業界への影響：セルフカストディへの信頼が問われる
この訴訟は、安全な暗号資産保管のゴールドスタンダードとして自らを売り込んできたハードウェアウォレット業界に不快な疑問を投げかけている。大手メーカーが弱いPRNGを搭載したファームウェアを何年も出荷できるのであれば、それは広範なエコシステムにとって何を意味するのか？開示の遅延の疑い—創業者が2025年5月までに知っていたとされながら、エクスプロイトは2026年に発生した—は、Coinkiteへの信頼を損ない、競合他社にも波及する可能性がある。規制当局や監査人は、暗号デバイスにおけるエントロピー生成の認証基準を確立するよう圧力を受けるかもしれない。ユーザーにとって、この事件はファームウェアの完全性を検証し、マルチシグやエアギャップ設定を検討することの重要性を強調している。
今後の展望：法的および市場への影響
集団訴訟は損害賠償額を特定していないが、1億4000万ドルの損失額は高い基準を設定している。Coinkiteはこれらの主張に公に応答していない。結果は、裁判所が同社のファームウェア開発と開示慣行に過失を認めるかどうかにかかっている。一方、暗号コミュニティはハードウェアウォレットメーカーにより多くの透明性を求める可能性が高く、セルフカストディ向けの保険商品が注目を集めるかもしれない。法的手続きが進むにつれ、この事件は分散型金融インフラにおける責任の画期的な判例となる可能性がある。
