Bitcoin (BTC) セキュリティレビューで4,962件の脆弱性発見を記録

ビットコインニュース

Bitcoin(BTC)エコシステムのソフトウェアに対するボランティア主導のセキュリティレビューにより、約30時間で390プロジェクトにわたり4,962件の脆弱性報告が提出された。これはBitcoinネットワーク周辺で実施された中でも最大級の大規模監査の一つだ。Bitcoin Red Teamと名乗るこのグループによると、世界に分散した16人のコントリビューターが交代制で作業に臨み、391のコードベースを検証した結果、問題なしと判定されたのはわずか1プロジェクトのみだった。提出された報告のうち、720件が「高」または「クリティカル」に分類されており、内訳はクリティカル85件、高635件である。深刻度の高い報告は全体の約14.5%を占め、残りは中・低・情報レベルに分類された。さらに246件は深刻度ラベルが付与されていない。パイプラインは現在も稼働中で、報告時点でパッチ対応が必要なメンテナーに到達していた深刻な報告は147件にとどまっていた。証拠の質はまちまちだが実質的な裏付けがあり、約21.4%は実行可能な概念実証(PoC)コードに裏付けられていた。約91%は自動スキャンツールによる検出であり、ツールが検出量の大部分を支えていることを示す。誤検出として却下されたのはわずか8件だった。時間あたり166.3件のペースと謳われているが、これは1時間のデータ移行処理に大きく偏っており、この注釈は総数の印象を和らげるものの、セキュリティ上の本質的なメッセージは変わらない。資金面では、Bitcoinエンジニアリングを支援する非営利団体OpenSatsが「Code RED」グラント枠を開設し、脆弱性を開示した研究者への報酬やスキャンに伴う人工知能コストの補填を開始した。8月6日時点の報告では、BTCは約64,396ドルで取引されており、前日比約0.5%の上昇だった。市場はこれらの開示をネットワーク資金への即時の脅威ではなく、エンジニアリング上の課題として受け止めたようだ。CashuというEcashプロトコルの開発者として知られる匿名のオーガナイザーCalle氏によれば、プロジェクトオーナーが深刻な報告の多くを迅速に検証し、監査がノイズではなく本物の脆弱性を突いていたことが確認されたという。次の段階は検証、パッチ適用、そして調整された開示である。

詳細な内訳を見ると、注目はハードウェアデバイスから共有ソフトウェアの依存関係へと移る。ハードウェアウォレットとファームウェアの深刻な問題率は9.6%と2番目に低かった。一方、ASICマイニングプールは21.7%、インフラとツールは21.5%、アトミックスワップのワークフローに関連するシステムを含む取引所・スワップベニューは20.9%の深刻問題率を示した。プライバシーツールは24%と最も高い比率を記録したが、レビュー対象はわずか3プロジェクトだった。報告件数が最も多かったのは暗号資産ライブラリで、128プロジェクトにわたって1,385件の発見が報告され、全体の4分の1以上を占めた。公開キャンペーンが正式に始まる前、AnchorWatchのCEOであるRob Hamilton氏は、100以上のBitcoin関連ライブラリのスキャンに1万ドル以上を費やしたと述べており、ユーザー向けプロダクトの裏にどれほどの潜在的な依存リスクが潜んでいるかを浮き彫りにしている。この監査の引き金となったのは、ハードウェアセキュリティにおける具体的な障害だった。ハードウェアメーカーが7月30日に発した警告によると、影響を受けたColdcardデバイスはシード生成において予測可能なソフトウェアフォールバックに依存しており、セキュアエレメントから供給されるエントロピーはわずか32ビットだった。これにより攻撃者の探索空間は約43億通りに限定される。8月4日時点のオンチェーン分析では、約7,300件のアドレスに関連する1,596 BTCの盗難が確認されており、疑わしい第4波を含めると推定被害総額は約1億3,000万ドルに達する可能性がある。ただし、アドレスのリストはまだ不完全である。オンチェーン上のアクティビティは衝撃の拡散を示しており、アクティブアドレス数は20カ月ぶりの高水準に上昇した。韓国のユーザーは比較的保護されていた。これは同コミュニティでダイスによるシード生成が一般的だからである。過去のランダム性障害もチームの危機感を高めた。2023年にはMilk Sad脆弱性により、Libbitcoin Explorerの鍵がわずか32ビットのクロック時刻から導出されていたことが判明した。5月にはIll Bloomエクスプロイトにより、脆弱なJavaScriptの乱数生成器に依存していたウォレットから570万ドルが流出した。これまでのところ、これらの発見はBitcoin自体に弱気相場の反応を引き起こしてはいないが、セキュリティの焦点を単一のデバイスからより広範なコードスタックへと拡大させている。

COINOTAGの見立てでは、これら2つの動きは一つのテーマを形成している。Bitcoinのオペレーショナルリスクの重心は、ベースレイヤーから周辺ソフトウェアのサプライチェーンへと移りつつある。監査で報告された4,962件の発見は確認済みのエクスプロイトではないが、レビューの契機となったCoinkite社の公式開示は、影響を受けたColdcardデバイスが予測可能なシード生成フォールバックを使用しており、セキュアエレメントからの供給はわずか32ビットだったと明記している。この一次情報こそが、ハードウェアの欠陥がなぜこれほど迅速にオンチェーン上の盗難問題に発展し得るのかを説明している。OpenSatsによるCode REDグラントの発表は、攻撃者より先にこうしたバグを発見するための持続的なインセンティブを加えるものだ。BTC保有者にとっての実務的なシグナルはパニックではなく、より厳格なコードレビュー、より良いエントロピーの実践、そしてメンテナーのより迅速な対応である。