放射性崩壊からビットコインウォレット鍵を生成するデバイス

開発者アレクサンダー・ヒギンズが2026年9月に公開したEntropy32 Plusリポジトリには、プロジェクトのファームウェア、回路基板設計、製造ファイル、印刷可能な筐体が含まれている。ヒギンズはこのデバイスを実験的・教育的なプロジェクトと説明し、独立したレビュー前に多額の資金を預けることは勧めないと警告している。

「The Universe Bifurcator」として知られるこのデバイスは、ガイガーカウンターからパルスを受け取り、検出イベント間の時間を測定する。ファームウェアは連続する間隔の比較をビットに変換し、512ビットの入力プールを収集し、SHA-256でデータを処理する。

公開された設計によると、Entropy32 Plusは結果のハッシュの一部を標準のBIP39リカバリーフレーズとしてフォーマットする。このデバイスはWi-Fi、Bluetooth、永続的なシード保存なしで動作する。

Entropy32 Plusは放射線イベント間の時間を測定

放射性崩壊は個々の原子レベルでは予測不可能に発生する。Entropy32 Plusは、ソフトウェア生成値のみに依存するのではなく、検出された崩壊イベントのタイミングを物理的な乱数源として使用する。

現在の設計では、GQ Electronics GMC-320Sガイガーカウンターからの3.5ミリメートル接続を通じてパルスを受け入れる。ドキュメントによると、カウンターは放射性線源またはバックグラウンド放射線からの放出を検出できる。

パルス受信後、LM393コンパレータがカウンターのアナログ信号をデジタル入力に変換する。カスタム回路基板はその信号をATmega328Pマイクロコントローラに渡す。

プロジェクトのファームウェアは、マイクロ秒タイマーを使用して各受け入れイベントを記録する。最新の間隔を前の間隔と比較し、新しい間隔が長い場合は1、短い場合は0を生成する。

等しい間隔は破棄される。200マイクロ秒未満の測定はグリッチの可能性があるとして拒否され、デバイスが512ビットを収集するまで受け入れられた比較が続行される。

ヒギンズは、個々の崩壊イベントの正確な到着を予測できないため、この方法ではパルスタイミングを使用すると述べている。開発者は、収集された各比較が測定されたエントロピーの完全な1ビットに寄与するとは主張していない。

SHA-256が生のビットコインシードデータを調整

512ビットプールが完成すると、Entropy32 PlusはバンドルされたSHA-256コードを通じて64バイトすべてを処理する。ファームウェアは、12ワードフレーズには結果のハッシュの最初の16バイトを使用し、24ワードフレーズには32バイトすべてを使用する。

プロジェクトによると、ハッシュ化は検出器のデッドタイム、カウントレートの変化、測定間の相関に関連する目に見えるパターンを減らすことを目的としている。ハッシュ調整は利用可能なエントロピーを出力全体に広げることができるが、元のデータにどれだけの予測不可能性があったかを証明するものではない。

ファームウェアにはSHA-256の起動テストが含まれている。「abc」のハッシュを計算し、結果を既知の値と比較する。答えが正しくない場合、デバイスはエントロピー収集前に停止する。

セルフテストに合格すると、そのテストベクトルに対して実装が期待される結果を返すことが確認される。ガイガーカウンターのテスト、パルス独立性の評価、ハッシュに入る最小エントロピーの測定は行わない。

プロジェクトは、生成する最大256ビットのBIP39入力の2倍の比較ビットを収集する。物理ソースが正式な測定を受けるまで、リポジトリは各比較にどれだけの使用可能なエントロピーが含まれるかを確立しない。

デバイスは調整済みデータをBIP39ワードにマッピング

SHA-256調整後、デバイスはBIP39仕様で定義されたプロセスを適用する。BIP39は承認されたエントロピー長を、標準化された2,048語のリストから選択されたニーモニック文に変換する。

12ワードフレーズの場合、Entropy32 Plusは128ビットの調整済みデータを使用し、4ビットのチェックサムを計算する。結合された132ビットは12の11ビットグループに分割され、各グループが1つのワードを選択する。

24ワード設定では256ビットと8ビットのチェックサムを使用する。結果の264ビットシーケンスを分割すると、24のワードインデックスが生成される。

リカバリーフレーズはウォレットアクセスを復元するために必要な情報を保持する。正しいワードを正しい順序で入手した人は誰でもウォレットの鍵を再作成できる。

シードフレーズ自体は独立して生成されたワードの集合ではない。現代のビットコインウォレットは1つのマスターシードから多くの秘密鍵を導出する。したがって、元のエントロピーの弱点はそこから生成されるすべてのアドレスに影響を与える可能性がある。

Entropy32 Plusは完全なBIP39英語リストをファームウェアにコンパイルする。リポジトリによると、ワードリストは13,117バイトを占め、マイクロコントローラのフラッシュ容量の約43%に相当する。

OLEDインターフェース、SHA-256実装、収集ロジックを含めると、コンパイルされたプログラムはチップの利用可能な30,720バイトのうち30,006バイトを使用する。未使用は714バイトのみである。

オフライン設計でシードを接続デバイスから遠ざける

公開されたハードウェアファイルには無線通信ハードウェアが記載されていない。ユーザーは2つのボタンでジェネレータを操作し、0.91インチOLED画面からフレーズを読み取る。

生成されたワードインデックスは一時的にマイクロコントローラのRAMに残る。ユーザーがフレーズを記録した後、両方のボタンを押すと確認プロセスが開き、ワード配列を上書きしてエントロピー収集を再開する。

ファームウェアは処理のためにコピーした後、元のプールをクリアする。一時的なハッシュ、チェックサム、エントロピーバッファはBIP39インデックスが計算された後に上書きされる。

開発者によると、デバイスはリカバリーフレーズを永続メモリに保存しない。オープンソース設計には、セキュアエレメントや、インストールされたファームウェアが公開コードと一致することを証明するメカニズムは含まれていない。

物理的な隔離はネットワークベースの攻撃経路をいくつか排除するが、デバイスが正しく組み立てられたか、信頼できるソフトウェアがロードされたかを検証するものではない。改造されたユニットは、外観を変えずに事前に決められたワードを表示したり、生成されたデータを保持したりする可能性がある。

リカバリーフレーズを電話、クラウドアカウント、写真、その他の接続システムから遠ざけることは、標準的なウォレットセキュリティの実践である。Entropy32 Plusの画面ベースのプロセスは、ハードウェアとファームウェアが信頼できる場合、オフライン転記と一致する。

独立したエントロピーテストは未完了のまま

リポジトリは、ガイガーベースのエントロピー源がNIST Special Publication 800-90Bの下でテストされていないと述べている。NISTの方法論は物理エントロピー源の評価をカバーし、独立データと非独立データのための個別の手順を含む。

ヒギンズは、長期間にわたる生の到着間隔を記録し、NISTの非IID最小エントロピー推定量で調べることを呼びかけている。ファームウェアのコメントは、一般的な統計テストの結果だけでは十分なエントロピーを確立できないと警告している。

「使用する予定のエントロピー源を検証してください。そうでなければ、自己責任でデバイスを使用することになると理解してください」とREADMEは述べている。

開発者は、価値のある資金のためのウォレットを作成する前に、ガイガー由来のデータを別の独立して検証されたソースと混合することを推奨している。9月13日時点で、外部監査、NIST評価、公開生イベントデータセットはリポジトリに含まれていなかった。

過去のウォレット障害は、エントロピーテストが最終ワードがBIP39フォーマットに従っていることを確認するだけにとどまらない理由を示している。過去のシード生成脆弱性を踏まえると、独立したウォレットテストが重要である。

弱いエントロピーは、影響を受けるデバイスを使用している人を明らかにすることなく、ビットコインウォレットを露出させる可能性がある。攻撃者は可能性のあるシードを生成し、その公開アドレスを導出し、ブロックチェーンで一致を検索できる。

予測可能なシード生成は、根本的な欠陥が何年も存在した後も歴史的に悪用可能であり続けた。欠陥のあるファームウェアを修正しても、以前に生成されたフレーズを修復することはできない。影響を受けるユーザーは新しいウォレットを作成し、資産を移転する必要がある。

Entropy32 Plusは活発に開発が続いている。コミット履歴には、9月4日付の最初のコミットと、その後のファームウェア、回路基板、筐体の変更が示されている。9月13日時点で、リポジトリにはタグ付きの本番リリースや独立したセキュリティ評価を完了するための公開スケジュールはなかった。