パリに拠点を置くハードウェアウォレットメーカーのLedgerは、Ledgerの公式販売店ディレクトリに掲載されているマレーシアの店舗CryptoBilis経由で販売されたハードウェアウォレットから、約8,600万ドル相当の暗号資産が盗まれた事件の調査を開始しました。

本件が際立っているのは、ハードウェアウォレットが秘密鍵をオフラインで保管するために設計されており、そのセキュリティモデルはデバイスが改ざんされずに届くことに依存している点です。Ledgerの標準的な安全ガイダンスでは、審査済みの公式チャネルからのみ購入するよう顧客に推奨しています。CryptoBilisはLedger自身による審査を受けていました。

疑われた盗難

ulcan Post]()によると、CryptoBilisは2020年12月にArravind Prabu、Vimal Selvamany、Dhivager Rathakrishnanの3人が、自身の会社Fetch Internationalのもとで立ち上げたマレーシアのオンラインストアです。同店舗は2021年にLedgerの正規販売店になったと発表していました。

金曜日、LedgerはXのサポートアカウントからの投稿で、同店舗が販売したウォレットからビットコイン、イーサリアム、トロン合わせて8,600万ドル超が盗まれたという報告を調査する間、CryptoBilisに対してLedger製品の販売および出荷をすべて停止するよう要請したと述べました。

匿名のブロックチェーン調査者であるSpecterは、Xへの投稿で、Ledgerユーザーの間でXやReddit上にウォレットから資金が流出したとの苦情が表面化したと述べました。Specterは、疑われた盗難アドレスの調査で、ビットコイン、イーサリアム、トロン上の数百の被害ウォレットからの入金を確認し、合計が8,600万ドルを超えると述べています。

失われた総額も、個別の事案間の関連も確認されていません。原因も依然として不明です。Ledgerは、自社のシステムやウォレットソフトウェアが侵害された証拠はないとしています。デバイスがどのように侵害されたのか、確認済みの損失が最終的にどの規模に達するのか、個別の事案が関連しているのかどうか——これらの未解決の問いが、調査の進展とともに注視すべき点を形作っています。

Ledgerの顧客への助言

Ledgerは、過去90日以内にこの販売店から購入した人は、デバイスをまだセットアップしないよう勧告しました。すでにウォレットを有効化した顧客には、新しく生成したリカバリーフレーズを使用して別のLedgerデバイスに資金を移すよう指示しました。新しいフレーズの生成が重要なのは、リカバリーフレーズがウォレットのマスターキーとして機能するためです。デバイスが所有者に届く前にフレーズが侵害されていた場合、古いフレーズを再利用するウォレットに資金を移しても残高は危険にさらされたままになります。

サプライチェーン攻撃の説

攻撃者がどのように実行したかについての有力な説の一つが、サプライチェーン攻撃です。この攻撃では、デバイスが改ざんされ、購入者に届く前にそのリカバリーフレーズが攻撃者に既知のものとなっており資金が入金され次第ウォレットを空にすることが可能になります。

この手法は2023年に文書化されています。当時、Kasperskyの研究者らが改ざんされたTrezor Model Tハードウェアウォレットを調査しました。デバイスのメインチップが交換されており、ソフトウェアが細工され、ユーザーに攻撃者が既知の20個のリカバリーフレーズのいずれかを与える仕組みになっていました。この事例では、攻撃者はウォレットを空にするまで約1か月待ちました。

Ledgerにとっての厳しい時期

Cryptopolitanは5月に報じたところによると、Ledgerは市場環境の悪化を理由に、計画していた40億ドルの米国での新規株式公開（IPO）を中止しました。同社は代わりに民間での資金調達を検討していると述べていましたが、今回の新たなセキュリティ懸念を受け、その道の実現可能性は now より低く見られています。

1月には、Ledgerが別のインシデントを開示し、決済代行業者のGlobal-eで顧客データの漏洩が発生したことを明らかにしました。ブロックチェーン調査者のZachXBTは当時、ハードウェアウォレット企業は個人情報を託できる存在ではないとコメントしていました。