Ledger、8,600万ドルの暗号資産窃取報告を受けウォレットの改ざんの可能性を調査
重要ポイント
- •Ledgerは、東南アジアの販売代理店CryptoBilisを通じて購入されたデバイスに関連する数百のウォレットから8,600万ドルを超える暗号資産が盗まれたという報告を調査中ですが、損失は未検証です。
- •匿名のブロックチェーン調査者Specterは、XやRedditでユーザーから資金消失の報告を受け、Bitcoin、Ethereum、Tronにまたがる疑わしい窃取アドレスを跡しました。
- •LedgerはCryptoBilisにすべての販売と出荷の停止を要請し、過去90日以内にこの販売代理店からデバイスを購入した顧客に初期設定を行わないよう警告しました。
- •すでにウォレットを有効化した顧客は、予防措置として、新たに生成したリカバリーフレーズを使用する新しいLedgerデバイスへ資産を移行するよう勧められています。
- •事前に知られたリカバリーフレーズが設定された改ざん済みデバイスを伴うサプライチェーン攻撃が一つの可能性としてありますが、Ledger自身のシステムやウォレット技術が侵害されたことを示す確証はありません。
暗号資産ハードウェアウォレット大手のLedgerは金曜日、東南アジアの販売代理店が販売したデバイスに関連する資金窃取の報告を調査していると発表しました。疑われている8,600万ドルの窃取事件は、今年業界で損失を拡大させているハッキング被害にさらに加わる可能性があります。
同社は、東南アジアの販売代理店CryptoBilisが販売したデバイスに関連する数百のウォレットから8,600万ドルを超える暗号資産が盗まれた可能性があるという報告を調査していますが、損失および関連性は独自には検証されていません。
LedgerはCryptoBilisに販売と出荷の停止を要請し、最近購入したユーザーにはデバイスの初期設定を行わないよう勧めています。すでにウォレットを有効化した顧客は、新たに生成したリカバリーフレーズを使用する新しいデバイスへ資産を移行することを検討すべきだと同社は述べています。改ざんされたデバイスを伴うサプライチェーン攻撃が一つの可能性として考えられますが、原因、影響を受けたユーザー数、損失総額はいまだ確認されていません。
調査者とLedgerの報告内容
匿名のブロックチェーン調査者Specterは、X上で、数百のウォレットから8,600万ドルを超える暗号資産が盗まれた可能性があると述べました。影響を受けたユーザー資産の額について、独自の確認はなされていません。
Specterは、XやRedditでのLedgerユーザーからの報告を受けて、Bitcoin、Ethereum、Tronにまたがる疑わしい窃取アドレスを追跡したと述べています。各事象が関連しているか、損失の原因が何であったかは依然として不明です。
LedgerはXへの投稿で、東南アジアの販売代理店CryptoBilisを通じてデバイスを購入した顧客からの資金消失の報告を認めていますが報告された損失額を確認することも原因を特定することもしませんでした。
予防措置として、同社は調査が継続される間、CryptoBilisにすべての販売と出荷を停止するよう要請したと述べています。Ledgerは、過去90日以内にこの販売代理店からデバイスを購入した顧客に対し、初期設定を開始しないよう勧めています。すでにウォレットを有効化したユーザーは、新たに生成したリカバリーフレーズを使用する新しいLedgerデバイスへ資産を移行することを検討すべきだと同社は述べています。
サプライチェーン攻撃の可能性
一つの可能性として、顧客に届く前にハードウェアウォレットが改ざんされるサプライチェーン攻撃が挙げられます。例えば、攻撃者が自分が知っているリカバリーフレーズを設定したデバイスを供給すれば、後日そのウォレットに入金された資金にアクセスすることが可能になります。リカバリーフレーズとは、ハードウェアウォレットをバックアップし、その資金へのアクセスを制御する単語の羅列であり、他の誰にも知られないようデバイス本体上で生成されることが想定されています。
このようなシナリオは、Ledger自身のシステムへの侵入とは異なります。しかし、デバイスの改ざんや事前生成されたリカバリーフレーズが報告された損失の原因であるという確認はなく、Ledger自身のシステムやウォレット技術が侵害されたことを示す確証もありません。
本件は調査中であり、影響を受けたユーザー数、報告された窃取事件が関連しているかどうか、失われた暗号資産の額は不明です。Ledgerは調査の進展に応じて最新情報を提供するとしています。
暗号資産セキュリティにとって厳しい一年
今回の疑われた窃取は、暗号資産セキュリティにとってすでに厳しい一年にさらに追い打ちをかける可能性があります。先月、暗号資産取引所Bitgetはハッキングにより3億5,000万ドルを超える資産が盗まれる被害を受けました。その他の主要なインシデントには、DefiLlamaのデータによると、Liquid Networkで約3億2,000万ドル、Driftで2億9,500万ドル、Kelpで2億9,300万ドルの損失が含まれます。確認されれば、Ledger関連の疑われた損失はこれらのハッキングのいずれよりも小さい規模ですが、この事件が注目されるのは、関係するセグメント、すなわち、多くの保有者が資金を取引所やその他のオンラインプラットフォームから離れて保管するためにまさに使用しているオフラインデバイスであるハードウェアウォレットだからです。
Ledgerについて
2014年に設立され、パリに本社を置くLedgerは、暗号資産へのアクセスに使用される秘密鍵をオフラインで保管するデバイスであるハードウェアウォレットの大手メーカーです。同社は世界で700万台以上のデバイスを販売したと述べており、その製品は取引所に依存せずに暗号資産を保護したい投資家に広く使用されています。
そのため、同社の製品に関わる潜在的なセキュリティ問題は、暗号資産市場全体にとって重大な意味を持ちます。ただし、今回の調査は、Ledger自身のチャネルではなく第三者販売代理店を通じて販売されたデバイスに関するものです。メーカーから直接購入されたデバイスは生産から顧客へ直接届きますが、転売されたユニットは購入者に届くまでに中間業者を経由します。現在の調査の中心にあるのがこの違いです。
更新（10月9日 14:58 UTC）：Ledgerに関する詳細な背景を追加。
出典：CoinDesk
