2025年12月16日、Blockstream 社より Jade ハードウェアウォレットのセキュリティに関する重要な情報が公開されました。
ファームウェアバージョン 1.0.24〜1.0.36 に脆弱性が発見されたため、すべての Jade ユーザーはファームウェア 1.0.38 以降へのアップグレードをお願いいたします。
現時点でこの脆弱性が実際に悪用された事例は確認されておらず、ユーザー資金の被害報告もありません。また、公式の Blockstream アプリのみをご利用の場合や、QR モードのみでお使いの場合は即座のリスクは低いとされていますが、安全のため早めのアップグレードを推奨します。
以下は Blockstream 公式ブログの日本語訳です。日本語訳は正規代理店である Lightning Base の判断で日本における Jade ユーザーの皆さまにわかりやすいよう掲載しているもので、Blockstream 社の公式情報ではありません。正確な情報は必ず原文をご確認ください。
Jade セキュリティ開示
Jade セキュリティに関するお知らせのフォローアップとして、徹底的な調査を経て業界の開示基準に従い、報告されたセキュリティ問題に関する詳細な背景、DARKNAVY からの通知に対する当社の対応、およびユーザーがアップグレードして安全を確保するための情報を以下に記載します。
ユーザーデータのセキュリティは当社にとって最も重要です。当社は取り組みにおいて完全な透明性とオープン性を追求しており、この精神に基づき本開示には多くの情報を含めています。すべてのユーザーには、アップグレードと安全確保の詳細について、以下の「アップグレード方法」セクションをご確認いただくことを強くお勧めします。
セキュリティ開示は、悪意のある者がユーザーを混乱させたり、正規のサポートチャネルになりすましたりしようとする試みを招く可能性があります。これを念頭に置き、以下の点にご注意ください：
- Blockstream 製品の唯一の正規サポートは https://help.blockstream.com/ からご利用いただけます。
- Blockstream がリカバリーフレーズ、PIN、またはユーザー識別情報を含む個人データの共有を求めることは決してありません。
- メッセージやリンクが本物かどうか疑問がある場合は、お問い合わせください。
- 不審なメール、メッセージ、連絡先を受け取った場合、または当社製品のセキュリティに懸念がある場合は、security@blockstream.com にメールするか、X でサポートチームに DM してください。
マルウェアのないデバイスで公式の Blockstream アプリのみを使用している場合、お使いの Jade は特定された脆弱性による即座の悪用リスクにさらされていません。また、QR モードのみを使用している場合もリスクはありません。ただし、いずれの場合も、できるだけ早くアップグレードすることをお勧めします。
経緯と背景
8月初旬、独立系セキュリティ研究・コンサルティンググループである DARKNAVY（@DarkNavyOrg）から連絡があり、Jade のセキュリティ報告ポリシーについて確認を求めるとともに、責任ある開示を希望する重大な脆弱性を発見したとの報告がありました。当社のポリシーと連絡チャネルを明確にした後、10月初旬に彼らの調査結果を詳述した包括的なレポートを受け取りました。
当社は24時間以内に DARKNAVY とレポートの有効性を確認し、報告された問題の修正を実装し、Jade ソースコード内に同様の問題がないことを確認するための内部監査を開始しました。並行して、修正されたファームウェアの内部テストを可能にするためにリリーススケジュールを調整し、次のリリースの最終化に取り組みました。また、脆弱性が積極的に悪用されていないことを確認するため、サポート、報告された問題、および内部記録を調査しました。これにより、追加の問題は見つからず、エクスプロイトがリリースされたり使用されたりしている兆候もありませんでした。同時に、このような問題の検出をさらに改善し、今後の悪用を防ぐためのいくつかのイニシアチブを優先的に進めました。
DARKNAVY レポート受領から3週間後の11月13日に修正を含むバージョン1.0.37をリリースしました。その後、修正バージョンの採用率を推定するために、匿名化されたファームウェアダウンロード数の記録を開始しました。1週間後、アンチロールバック保護を有効にするバージョン 1.0.38 をリリースし、アップグレードされたデバイスが恒久的に安全であることを保証しました。1.0.38 のリリースに伴い、一般的なセキュリティお知らせも行い、ユーザーに迅速なアップグレードを推奨しました。
コミュニケーションの中で、DARKNAVY は Blockstream ウォレットアプリが Jade デバイスとどのように相互作用するかに関連する他の問題も報告しました。当社は彼らの調査結果を確認し、アプリコードを監査し、これらのレポートから1週間以内に修正バージョンをリリースしました。Web フラッシングツールも監査して同様の修正を適用し、Web ファームウェアバージョンを修正を含むものに更新しました。
DARKNAVYは 90 + 30 の責任ある開示モデルに従っています。セキュリティ問題が報告された時点から、影響を受けるプロジェクトには修正の開発、テスト、リリースのために90日間の猶予があります。修正が利用可能になった後、技術的な詳細は追加で30日間の期間を経て公開されます。
Blockstream は、タイムリーな問題解決とユーザーの安全を優先するための確立された責任ある開示慣行の使用に関して、DARKNAVY のアプローチを支持します。このポリシーは、公開前に適切な修復を可能にし、ユーザーがセキュリティを維持するための明確で実行可能なガイダンスを受け取れるように設計されています。
脆弱性の責任ある倫理的な報告に加え、潜在的な影響の包括的な分析と修正の提案を提供してくださった DARKNAVY に改めて公に感謝いたします。
技術的詳細と範囲
Jade ファームウェアバージョン 1.0.24 で、CBOR RPC インターフェースを介してファームウェアにディスクリプタを登録する機能が追加されました。脆弱性は、「register_descriptor」RPCに渡される CBOR メッセージの処理にあります。呼び出し元によって渡されるディスクリプタパラメータデータのサイズチェックが欠落しているため、攻撃者が制御するデータでプロセススタックを上書きすることが可能であり、以下に詳述するようにデバイスのクラッシュまたは限定的なコード実行につながります。
脆弱なコードは、初期化およびロック解除されたデバイスでのみ到達可能であり、デバイスは RPC が呼び出されるのと同じインターフェースを使用してロック解除されている必要があります。これは、USB 接続されたデバイスは USB-RPC 呼び出しに対してのみ脆弱であり、Bluetooth 接続されたデバイスは Bluetooth RPC 呼び出しに対してのみ脆弱であることを意味します。一時的にロック解除されたデバイスは、ロック解除時に選択されたインターフェースでのみ脆弱です。QR モードは RPC インターフェースを公開しないため、まったく脆弱ではありません。
WebUSB API は Web アプリケーションがUSB経由で通信することを可能にし、Jade Web フラッシングツールの基盤となっています。これは、Jade デバイスと通信する権限を付与された Web アプリケーションが「register_descriptor」RPCを呼び出すことができることを意味します。ユーザーは、https://jadefw.blockstream.com/upgrade/fwupgrade.html の公式フラッシング手順のみを使用してデバイスをアップグレードするよう特に注意してください。
ファームウェアバージョン 1.0.24 から 1.0.36 を実行している Jade デバイスは、不正な RPC リクエストによってクラッシュし、デバイスが再起動する可能性があります。Jade デバイスにはスタックの上書きを防止しようとするスタック保護コードが含まれており、このコードがトリガーされるとデバイスが再起動します。
ファームウェアバージョン 1.0.24 から 1.0.35 では、高度な攻撃者が Jade のスタック保護をバイパスする RPC リクエストを構築し、限定的なコード実行につながる可能性があります。バージョン 1.0.36 はまだ脆弱であることが確認されていませんが、その可能性を排除することはできません。
攻撃者が悪意のあるリクエストを実行できる場合、デバイスの再起動まで実行中のソフトウェアを変更できる可能性があります。さらに、デバイスの内部ストレージを読み書きし、ホストデバイスに RPC メッセージを送信できる可能性があります。これは、この脆弱性に基づく将来のエクスプロイトの深刻度が、保存されたデータを破壊してユーザーに嫌がらせをすることから、最悪の場合にはユーザーの秘密鍵を抽出してRPC応答メッセージ経由で返す可能性まで及ぶことを意味します。
バージョン 1.0.23 以前、および 1.0.37 以降は、「register_descriptor」RPC を悪用しようとするあらゆる試みに対して免疫があります。バージョン 1.0.38 は、インストールされたファームウェアを影響を受けるバージョンにダウングレードすることをさらに禁止します。デバイスが安全であり、脆弱なバージョンにダウングレードできないことを確認するには、以下の「アップグレード方法」セクションに記載されている手順に従って、すぐにファームウェアバージョン 1.0.38 にアップグレードすることをお勧めします。
この問題の悪用によって、デバイスで実行されるソフトウェアを恒久的に変更したり、デバイス再起動後に実行される非公式ソフトウェアをインストールしたりすることは不可能であることにご注意ください。
DARKNAVY の完全な開示が公開され次第、このお知らせにリンクを追加します。
悪用分析
この脆弱性が実際のマルウェアによって悪用されていることは認識していないことを強調したいと思います。ただし、他のセキュリティに敏感なソフトウェアと同様に、悪意のある者が当社のリリースを監視し、脆弱性を探して古いソフトウェアバージョンに対するエクスプロイトを開発しようとしていることが予想されます。
この脆弱性を悪用しようとするマルウェアを発見したと思われる場合は、すぐに security@blockstream.com のセキュリティ報告チームに連絡してください。デバイスが悪用されたと思われる場合は、サポートデスクにお問い合わせください。
この脆弱性に関連するエクスプロイトは、Jade と通信するホストデバイス（モバイルデバイスまたはコンピュータ）上のマルウェアによって開始される必要があります。これは、偽のウォレットアプリケーション、他の信頼できないソフトウェアとともにインストールされた外部マルウェアパッケージ、またはオペレーティング環境のセキュリティバイパスの形を取る可能性があります。
WebUSB API を使用する Web ページは、ユーザーの許可があれば Jade デバイスと通信できます。素朴なユーザーが悪意のある Web ページを訪問するように騙される可能性があることを考慮し、Blockstream は Jade を Web ウォレットと一緒に使用することを推奨しません。
影響を受ける Jade を悪用しようとするマルウェアは、いくつかの障害に直面します：
- 各 Jade デバイスタイプ（オリジナル Jade、Jade 1.1、Jade Plus）のファームウェアソフトウェアは、脆弱性を完全に悪用するためにデバイス固有のコードを必要とします。
- 各ファームウェアには、Standard（標準）または No-radio（Bluetooth サポートなし）の2つの構成があります。
- 各デバイスおよび構成の各ファームウェアリビジョン（1.0.24 から 1.0.36 まで）では、エクスプロイトを成功させるために通常、若干異なるペイロードを開発する必要があります。
- Jade は USB シリアルまたは Bluetooth のいずれかで接続できます。汎用的なエクスプロイトは両方のケースに対応する必要があります。
- エクスプロイトの深刻度を高める（デバイスのクラッシュから秘密データの流出まで）には、高度なスキルと、コンパイルされたファームウェアを部分的にリバースエンジニアリングして攻撃に再利用できるコードの場所を見つけるなど、いくつかの高度な技術を組み合わせる必要があります。
- ユーザーがデバイスを脆弱でないバージョンに更新するにつれて、悪用可能なデバイスの数（したがって、攻撃者に報いるエクスプロイトの可能性）は急速に減少しています。
広く使用されているセキュリティに敏感なデバイスと同様に、動機のある攻撃者は時間の経過とともに古いソフトウェアバージョンを標的にしようとすると想定しています。当社は状況を引き続き監視し、ユーザーにアップグレードを呼びかけます。現時点では、影響を受けないファームウェアバージョンをダウンロードするユーザー数が多いことに励まされています。最新の状態を維持することの重要性を強調するため、ソーシャルメディアやメーリングリストを含む公式チャネルを通じてユーザーへの通知を継続します。
当社が実施している対策
新しい Jade ファームウェア開発者を雇用し、2026年第1四半期に別の開発者を追加する予定です。この取り組みにより、内部コードレビュープロセスを改善することができました。また、開発チームが開発とセキュリティに専念できるよう、サポートチームの人員も増員しました。
新しい Jade 生産ロットには最新バージョンのファームウェアがフラッシュされます。既存の在庫については、すべてのデバイスパッケージにセットアッププロセス中にファームウェアをアップグレードするよう促すリマインダーを組み込み、製品ページ、ソーシャルメディア、アプリ内通知など、利用可能なすべてのチャネルを通じてコミュニケーションを標準化する措置を講じています。
RPC が影響を受ける可能性のある他のケースについて、Jade ソースコードを監査しました。このプロセスは進行中であり、その範囲はファームウェアのさらなる強化の機会を特定することにまで拡大されています。例えば、開発デバイスのファームウェアビルドでスタック保護を強化するテストを現在行っています。Blockstream アプリを開いた後、Jade を接続すると 1.0.38 へのアップデートを促すメッセージが表示されます。ウォレット管理機能にアクセスするには、間もなくアップグレードが必須となります。
Jade ソースコードの独立した第三者による公開セキュリティ監査のオプションを積極的に調査しています。最終決定後、ユーザーにお知らせします。
開発サイクル中の分析とテスト能力を向上させるため、「libjade」として知られる進行中の内部プロジェクトを前倒しし、現在パブリックソースコードリポジトリに統合されています。libjade は進行中の作業であり、Jade ファームウェアをネイティブソフトウェアライブラリとしてビルドおよび実行することを可能にします。libjade により、テストカバレッジを大幅に向上させ、最新のメモリ安全性、静的解析、ベンチマークツールをファームウェアに対して直接実行できるようになりました。libjade を使用してファズテストを大幅に増加させる予定です。これは、実際のハードウェアやエミュレーションよりも数百倍高速にテストを実行できるためです。
また、Blockstream アプリやファームウェアフラッシングツールなどJadeと相互作用するすべてのソフトウェアのさらなる内部監査も実施しています。
ユーザーを安全に保つ新しい方法を引き続き検討しており、ソフトウェアの品質とセキュリティを向上させるための提案や貢献を歓迎します。フィードバックがある場合や Jade 開発に貢献したい場合は、https://github.com/Blockstream/Jade のパブリックリポジトリにぜひご参加ください。
アップグレード方法
あらゆる攻撃に対する最善の防御は、常にソフトウェアを最新の状態に保つことです。これには、コンパニオンアプリ（Blockstream アプリなど）、Web ブラウザ、オペレーティングシステム、および Jade ファームウェアが含まれます。
コンパニオンアプリを最新の利用可能なバージョンにアップグレードすることが重要です。 Jade OTA アップデートをサポートするアプリは、アップデート用の最新バージョンのファームウェアを提供します。
以下のカテゴリに該当する場合、コンパニオンアプリを使用するか、当社の手順に従って好みの方法でJadeを安全にアップグレードできます：
- Jade が初期化されていないか、工場出荷時にリセットされている。
- QR モードでのみ Jade を使用している。
- Jade がファームウェアバージョン 1.0.36 以降を実行している。
- アップグレード元のデバイスにマルウェアがないことが確実である。
Jade Plus デバイスの場合、JadeLink または互換性のある USB ドライブを介した USB アップグレードの実行は安全です。こちらの手順に従ってください。
それ以外の場合、ホストデバイス（モバイルデバイスまたはコンピュータ）が侵害されている可能性が心配な場合は：
上記の2つのステップを実行した後、Jade を任意のホストデバイスに安全に接続できます。
コンパニオンアプリを使用するか、当社の手順に従って好みの方法で Jade をアップグレードしてください。アップデートが完了してデバイスが再起動すると、Jade は安全です。表示されるバージョンが 1.0.38 以降であることを確認してください。
ホストデバイスが侵害されていると思われる場合は、Jade やビットコインソフトウェアをデバイスで使用する前に、再インストールまたは交換する必要があります。
Jade をリセットする代わりに、保証されたクリーンなデバイス（署名されたインストールメディアから新規インストールされたラップトップなど）を使用して、上記のリンクを使用してアップグレードを実行できます。
問題が発生した場合は、ガイダンスのためにサポートデスクにお問い合わせください。
まとめ
- 影響を受けるバージョン： Jade ファームウェア 1.0.24 から 1.0.36
- 影響を受けないバージョン： 0.1.21 から 1.0.23、1.0.37 以降
- リスク状況： 実際の悪用の証拠なし
- ユーザーに必要なアクション： ファームウェアバージョン 1.0.38 以降にアップグレード
- リスクにさらされている資金： この問題に関連するユーザー資金の損失は確認されていません
セキュリティは Blockstream のすべての取り組みにおいて最も重要です。この開示で説明した対策以外にも、ユーザーの保護を改善する方法を常に模索しています。
セキュリティプラクティスに関するご質問やご懸念がある場合は、お気軽にお問い合わせください。
セキュリティ問題を報告するには、security@blockstream.com にメールしてください。
報道関係のお問い合わせは、press@blockstream.com までご連絡ください。
コメントを残す