256 Foundationがビットコインマイニング機器のファームウェアを監査、41件の問題を発見

重要ポイント

256 Foundationは、ASICマイニング機器のファームウェアを監査する256 Red Teamセキュリティプロジェクトを立ち上げた。チームは、Bitmainのオリジナルファームウェアと、LuxOS、VNISH、Braiins OSによる第三者製ファームウェアを対象に、41件の問題報告を提出した。報告された問題には、認証なしで利用できる工場向けAPI、root権限に到達できる経路、デフォルト認証情報、ベンダーのSSH鍵、コンテンツ検証を行わない更新プログラムなどが含まれていた。研究者は、元のBitmainファームウェアにハッシュレートの隠れた抜き取り、リモート停止スイッチ、隠密ビーコンが存在する証拠を確認しなかった。チームはVNISH、Luxor、Braiinsに責任ある開示を行い、一般公開に先立つ30日間の対応期間を設けた。

市場センチメント

中立, テック主導。

理由: 256 Foundationはビットコインマイニングのファームウェアにセキュリティ上の問題を特定したが、元のBitmainファームウェアに隠れた制御機能が存在する証拠は確認しなかった。

類似の過去事例

重要なマイニングインフラのセキュリティレビューは通常、ファームウェアの完全性やベンダーのアクセス管理への注目を高める。今回の監査は、第三者製ファームウェアのリスクと、Bitmainのオリジナルファームウェアのリスクを切り分けている点で異なる可能性がある。

波及効果

第三者製ファームウェアの脆弱性は、不正アクセスや安全でないソフトウェア更新を通じて、マイニング事業者に影響を及ぼす可能性がある。ベンダーが開示期間の終了後に対応や修正を公表すれば、事業者は修正が十分かどうかを判断するための、より明確な証拠を得られる可能性がある。

機会とリスク

機会: マイニング事業者は、責任ある開示に対するベンダーの対応を注視できる。明確な修正内容は、ファームウェアのセキュリティ対策への信頼を高める可能性がある。

リスク: マイニング事業者は、報告された問題が開示期間の終了前に修正されるかどうかを注視できる。アクセス管理の脆弱性が未解決のままであれば、影響を受ける第三者製ファームウェアの利用者にとって、運用上のセキュリティリスクが高まる可能性がある。