Ledgerは、先週ハードウェアウォレットのユーザーから資金流出が報告され、1人の顧客が改ざんされたデバイスを受け取ったことを受け、当局と連携して対応している。ただし、パリに拠点を置く同メーカーは、影響を受けた製品の数は「限定的」だと顧客に説明している。

同社は日曜日に発表した告知の中で、影響を受けた顧客に直接連絡を取ったことも明らかにした。

調査は、Ledgerが金曜日に、販売店からデバイスを購入後に資金を失った東南アジアの顧客からの報告の調査を開始したと発表した後に始まった。土曜日には、同社は影響を受けたユーザーの1台のデバイスに不正なハードウェア移植部品が含まれていたことを確認したと述べた。

ハードウェアウォレットは、ユーザーの秘密鍵をオフラインに保ち、資金を管理する認証情報を露出させることなく取引に署名するために設計されている。このセキュリティモデルは、デバイスが手つかずの状態で届くことに依存しているため、ハードウェアに埋め込まれた不正な移植部品は、同製品が対抗するよう設計された脅威の範囲外にある。

Ledgerは損失額を確認していないが、ブロックチェーン調査会社のSpecterは8,600万ドルがデバイスから流出したと述べている。

「調査が継続する中、私たちは関係当局と連携して対応しています」と、Ledgerは日曜日にXでの告知で述べた。同社のLedger Supportアカウントは、プラットフォーム上でフォローアップ投稿を含む追加の更新情報を共有した。

同社はさらに、「また、正規販売店以外からの購入は強くお勧めしません。そこでは、疑わしい、偽造、または改変されたデバイスを購入するリスクが高く、Ledgerのセキュリティガイドラインに基づいて動作するものはありません」と付け加えた。

「セキュリティは静的なものではなく、この一件は、なぜ私たちが流通および耐タンパ性のプロセスを継続的に見直し、強化しているのかを浮き彫りにしています。」

東南アジアの顧客からは先週、マレーシアのクアラルンプールに拠点を置く販売店CryptoBilisからデバイスを購入した後に資金を失ったとの報告があった。LedgerはCryptoBilisから購入した顧客に対し、デバイスをセットアップしないよう助言した(Bitcoin Magazineが以前報道)。日曜日の発表によると、CryptoBilisはその後、ハードウェアウォレットの販売を停止した。

この区別が重要なのは、フィッシングがオンラインで認証情報を自ら手放すようユーザーを騙すことに依存しているのに対し、移植部品はデバイスの開封時点、セットアップが始まる前からハードウェア内部に存在しているからである。

ソーシャルメディア上では、Ledger製品に取り付けられた移植部品の写真証拠が投稿されており、この改変によりユーザーの秘密鍵が露呈する可能性があると主張されている。Ledgerの署名デバイスのうち何台に移植部品が含まれていたかは依然として不明である。

LedgerもCryptoBilisも、Bitcoin Magazineの質問に直ちに回答していない。調査が進行中であることから、今後注目すべきは当局が何を解明するか、そして確定的なデバイス数と検証済みの損失総額が確認されるかどうかである。

ハードウェアウォレットのセキュリティは、7月にハッカーがColdcardユーザーから約1億2,000万ドル相当のビットコインを窃取して以来、厳しい注目を集めている(Bitcoin Magazineが当時報道)。カナダ企業Coinkiteが製造したこれらのデバイスにはファームウェアのバグが含まれており、シードの生成に欠陥が生じ、ハッカーが投資家のシードフレーズを実質的に推測できる状態になっていた。

先月の別の事例では、ハードウェアウォレットメーカーのTrezorが、サードパーティのフルフィルメントパートナーからデータが盗まれたことにより、約81,000人の顧客の情報が流出したと報告した(Bitcoin Magazineが報道)。

犯罪者は年間を通じて顧客データを標的にしており、詐欺師はLedgerが使用する決済プロセッサーのGlobal-eを通じて顧客情報を入手し、フィッシングメールを送信している。これらの事例を総合すると、攻撃対象領域はデバイスが通過する全経路——ファームウェア、フルフィルメント、決済処理、再販チャネル——に及んでいることがわかる。

この記事はMathew Di Salvoによって執筆され、最初にBitcoin Magazineに掲載されました。