求職者を騙した詐欺師、Ledgerスパイチップ悪用で490万ドルのビットコインを失う
重要ポイント
- •Chainalysisの報告によると、偽の求人スキームを運営していた詐欺師が、違法な収益を保管していた3つのLedgerハードウェアウォレットを泥棒に空にされ、490万ドル超（60 BTC）のビットコインを失った。
- •詐欺師の資金は「タスク詐欺」によるもので、被害者は最初に偽の製品レビューの投稿やオンライン販売の促進の報酬を受け取った後、口座残高がマイナスになったと告げられ、本来の利益を出金する前に自己資金の入金を求められていた。
- •侵害されたデバイスは東南アジアの再販業者CryptoBilisによって販売されたもので、モバイルネットワーク経由でウォレットのリカバリ情報を送信できる不正なハードウェアインプラントが組み込まれていた。
- •インプラントは、秘密鍵をオフラインで保管するよう設計されたハードウェアウォレットの中核的な保護策を、リカバリデータを遠隔送信することで回避し、攻撃者はデバイスを物理的に所持することなく保存されたビットコインにアクセスできた。
- •悪意のあるインプラントが第三者再販業者を通じて流通したデバイスに組み込まれていたことから、この事件はハードウェアウォレットのサプライチェーン経由の侵害経路を浮き彫りにしている。
偽のオンライン求人で数百万人を騙し大金を稼いでいた暗号資産詐欺師が、今度は別の詐欺の被害に遭い、不正アクセスされたLedgerハードウェアウォレットにより490万ドル超のビットコインを失った。
ブロックチェーン分析企業Chainalysisは木曜、X上で、犯人はいわゆる「タスク詐欺」によって資金を回収していたと発表した。この詐欺では、ターゲットは最初に偽の製品レビューの投稿やオンライン販売の促進の報酬を受け取るが、その後口座残高がマイナスになったと告げられ、本来の利益を出金する前に自己資金を入金するよう求められる。
Chainalysisによると、この運営の実行者は違法行為の収益を3つのLedgerウォレットアドレスに移送したが、泥棒によって空にされ、60 BTCが奪われた。その総額は490万ドルを超える。
同分析企業は、偽のオンライン求人で人々を騙していたこの詐欺師が、侵害されたハードウェアウォレットの最大の被害者の一人になったと述べた。
今回の盗難は、東南アジアの再販業者CryptoBilisが販売したデバイスに関するLedgerのセキュリティ侵害に新たな展開をもたらした。調査当局は、デバイスに組み込まれた不正なハードウェアインプラントを発見した。これはモバイルネットワーク経由でウォレットのリカバリ情報を送信でき、攻撃者はデバイスに保存されたビットコインにアクセスすることが可能だった。以前の開示では、CryptoBilis販売デバイス内のスパイチップがモバイルネットワーク経由でウォレットキーを送信していたとLedgerが発表している。インプラントが第三者再販業者を通じて販売されたデバイスに組み込まれていたことから、この一件はハードウェアウォレットのサプライチェーン経由の侵害経路を浮き彫りにしている。
Ledger製をはじめとするハードウェアウォレットは、暗号資産の秘密鍵をオフラインで保管するよう設計されている。一方、ウォレットのリカバリ情報は、デバイスが保護する資金へのアクセスを復元するために使用できる。報じられたインプラントは、リカバリ情報をモバイルネットワーク経由で送信することでこの保護策を回避し、攻撃者がデバイスに物理的にアクセスすることなくリカバリデータを入手できる状態を作り出した。
この記事は当初CoinDeskによって公開された。
