Ledgerは、被害を受けたユーザーのデバイス1台に不正なハードウェアインプラントが仕込まれていたことを確認しました。これは、販売代理店CryptoBillisを通じて同社デバイスを購入したユーザーから報告された資金流出に関する調査で、初めて明らかになったデバイスレベルの発見です。

最新の公開アップデートにおいて、ハードウェアウォレットメーカーは、被害を受けたユーザーへの連絡、販売代理店CryptoBillisとの協議、関係当局への協力を進めていると述べました。また、自社のセキュリティインフラ、システム、サービスが侵害された兆候は見つかっていないとしています。

この発見により、報告された損失をめぐるより広範な状況を調査が続ける中で、注目はデバイスの流通経路に向けられました。Ledgerのアップデートでは、インプラントは1台のデバイスにおける確定した発見事項として挙げられており、影響を受ける可能性のあるデバイスの数とインプラントが損失に果たした役割は引き続き調査中です。同社は潜在的な影響範囲を明らかにしておらず、インプラントと報告されたすべての損失を結びつけたことは公にしていません。

調査がデバイスレベルの発見に至った経緯

Ledgerは、CryptoBillisを通じて購入したデバイスに起因する資金流出がユーザーから報告された後、調査を開始しました。その時点で同社は、共通の原因、報告された損失総額、自社システムへの侵害をいずれも確認していませんでした。同社は販売代理店に販売の一時停止を求め、顧客に対して未使用デバイスを初期化しないよう警告しました。詳細は以前の報道で取り上げています。

最新の声明は、調査に具体的なデバイスレベルの発見をもたらしました。ただし、影響を受ける可能性のある台数を確定したものではなく、報告されたすべての損失の発生経緯を説明するものでもありません。

CryptoBillis、ハードウェアウォレットの全販売を停止

Ledgerによると、CryptoBillisは調査が結論を出すまで、ハードウェアウォレット在庫の全販売を停止しました。この停止により、両社が次の対応を協議する間、販売代理店経由でのさらなる流通が制限されます。

この発見により、焦点はサプライチェーンに向けられています。ハードウェアウォレットのセキュリティは、所有者がウォレットを作成する前に始まります。デバイスは不正な改変を受けることなく購入者の手に届かなければなりません。ハードウェアウォレットはユーザーの秘密鍵をオフラインで保管するよう設計されており、そのセキュリティモデル、セットアップ時にハードウェアが正規品であることに依存しています。Ledgerは、CryptoBillisのすべてのデバイスが改変されたとは述べておらず、だからこそ調査と販売停止が重要なのです。

ソーシャルメディア上の販売代理店リストは公式警告ではない

CryptoQuantコントリビューターのDarkfostによるX投稿は、CryptoBillisと地理的に近いことを理由にサプライチェーンリスクに直面する可能性があるとして、東南アジアの他のLedger販売代理店を挙げました。ただし、同投稿はその見解があくまで憶測であると明示しており、それらの小売業者が改変されたデバイスを販売したことを示す証拠は提示していません。

Ledgerが確認したのは、CryptoBillisに関連する1台のデバイスに不正なインプラントがあったことだけです。同社は追加の販売代理店を公に特定しておらず、より広範な流通問題を確認したわけでも、地域のすべての顧客に資金移動を助言したわけでもありません。したがって購入者は、出回っている販売代理店リストを公式警告として扱うことを避けるべきであり、CryptoBillisから購入した場合や同社から直接の通知を受けた場合には、Ledgerのガイダンスに従う必要があります。

被害を受けた購入者が検討すべきこと

以下の手順は、CryptoBillisを通じてLedgerデバイスを購入した人に適用されます。Ledgerは、すべてのLedgerユーザーに対する移行指示を出してはいません。

• 未使用のデバイスは初期化しない。 販売代理店から購入し、セットアップを開始していない顧客は、調査が続く間デバイスを初期化しないでください。
• 交換用デバイスで既存のリカバリーフレーズを再利用しない。 古い24単語のフレーズを読み込んだ交換用デバイスは同じウォレットを復元するものであり、独立したセキュリティ境界にはなりません。
• 新しいフレーズを使用する新しいサインナーへの資産移行を検討する。 すでに初期化済みのデバイスについては、Ledgerは新しいウォレット環境への移行を検討するよう助言しています。トランザクションを承認する前に、ハードウェアウォレットの画面上ですべての送金先アドレスを確認してください。
• リカバリーフレーズを決して開示しない。 Ledgerは、24単語のリカバリーフレーズをユーザーに求めることは決してないと述べており、それを求める要求はすべて詐欺の試みとして扱うべきです。

確認された物理的手がかり、残る疑問

Ledgerの確認により、本件は一連のユーザー報告から、デバイスレベルの確定した発見を伴う調査へと変わりました。問題の規模、およびインプラントと報告された損失の関連性については、依然として疑問が残ります。今後注目すべきシグナルは、影響を受ける可能性のあるデバイス台数に関するLedgerの追加アップデート、販売代理店経由で購入した購入者への直接通知、そしてCryptoBillisの販売再開の可否を左右する調査の結論です。

CryptoBillisの購入者にとって、当面の優先事項は明快です。未使用のデバイスを初期化せず、資産を移動する場合は新しいリカバリーフレーズを使用することです。その他のセルフカストディのーザーにとって、この一件は、最初のトランザクションに署名する前のデバイスの完全性がウォレットのセキュリティを左右するということを改めて思い起こさせます。

この記事は情報提供のみを目的としたものであり、金融またはセキュリティに関する助言を構成するものではありません。デバイスが影響を受けている可能性があると考えるユーザーは、Ledgerの公式ガイダンスに従い、リカバリーフレーズを決して共有しないでください。