Ledgerは、資金紛失の報告を受け、顧客向けのセキュリティーガイダンスを発表した。警告の中心は、過去90日間に購入したユーザーに向けられている。同社は、まだセットアップされていないデバイスは初期化せず、すでにウォレットを作成したユーザーは、新たに生成したリカバリーフレーズを使って新しい署名デバイスへ資産を移す必要がある可能性があるとしている。

主なポイント

• Ledgerは報告された資金紛失を調査中で、原因は明らかにしていない。
• 最近購入したユーザーで、デバイスをセットアップしていない場合は、手続きを開始しない方がよい。
• 移行には、新しい署名デバイス、新しいリカバリーフレーズ、新しい受取アドレスが必要になる。
• Ledgerは、損失総額が$86 millionに上るとするメディア報道を確認していない。

90日間の警告を左右する一つの問い：ウォレットは作成済みか

未開封のデバイスと、すでに有効化されたウォレットの違いが、Ledgerによる二つの助言の根拠となっている。購入者がセットアップを開始していなければ、そのデバイスを通じてリカバリーフレーズを生成していないため、Ledgerはそのようなデバイスを初期化しないよう求めている。すでにデバイスをセットアップしたユーザーへのメッセージがより複雑なのは、そのウォレットがすでに資産を管理している可能性があるためだ。つまり、重要なのはセットアップの有無である。ウォレットの管理権限はハードウェアそのものではなくリカバリーフレーズに基づき、そのフレーズを持つ人は別のデバイス上でウォレットを復元できる。

Ledgerは、こうしたユーザーに対し、新しいシードを使った新しいLedger署名デバイスへの資金移動を検討するよう助言した。同社は、この予防措置の理由を公に説明していないが、物理デバイスを交換するだけでは懸念に対処できないことを示す内容となっている。

デバイス未セットアップ — 初期化しない。 Ledgerは、過去90日間に購入し、セットアップを開始していないユーザーに対し、デバイスを使用せずに保管するよう助言している。

ウォレット作成済み — 新しい署名デバイスとシードを使用する。 資産は、新たに生成したリカバリーフレーズから作成されたアドレスにのみ移す。

購入記録を保管 — 証拠を残す。 調査が続く間、領収書、注文確認書、デバイスの詳細を保管する。

交換用デバイスでも古いウォレットを復元できる

ハードウェアウォレットは、USBドライブがファイルを保存するのと同じ形で暗号資産を保管しているわけではない。資産はそれぞれのブロックチェーン上に残り、署名デバイスは取引の承認に使われる秘密鍵を保持する。

24語のリカバリーフレーズを使えば、別の互換デバイス上でそれらの鍵を再作成できる。したがって、既存のフレーズを交換用Ledgerに入力すると、同じアドレスと同じセキュリティー履歴を持つ、同じウォレットが復元される。

資金を移すことを選択するユーザーは、まず新しい署名デバイス上で新しいリカバリーフレーズを作成し、その後、そのフレーズから生成された受取アドレスへ資産を移す必要がある。Ledgerはこの方法を「統合ではなく移動」と表現している。リカバリーフレーズをコンピューター、スマートフォン、ウェブサイト、サポートチャット、オンラインフォームに入力してはならない。

LedgerのGenuine Checkで確認できること

LedgerのGenuine Checkは、デバイスのSecure Elementの暗号学的な識別情報を検証する。Secure Elementは、Ledgerが秘密鍵を周辺ソフトウェアから隔離する耐タンパー性チップである。正規の販売元からLedgerを入手したユーザーがセットアップする際、重要な真正性確認として機能する。

一方、同社は、このチェックではデバイスが流通する過程の全履歴を確認できず、本物のSecure Element周辺に施されたあらゆる物理的改変を検出できるわけでもないと説明している。この制限があるため、製品が重要な真正性テストに合格していても、同社がより広い販売プロセスにおける問題の可能性を調査し続けることがあり得る。Ledgerは、署名デバイスを購入する際のベストプラクティスを公式アカデミーページで公開している。

$86 millionの推計はLedgerの発表に含まれていない

Crypto Briefingを含む一部の暗号資産メディアは、今回の事案に関連する損失が$86 millionを超える可能性があるとの主張を報じている。Ledgerは、この金額を確認しておらず、影響を受けたウォレットアドレスも特定していない。また、報告された盗難の仕組みについても説明していない。

こうした詳細がない限り、外部の推計から、報告されたオンチェーンの活動のうち、どの程度がLedgerの発表した調査に関連するものなのかを確定することはできない。

Ledgerが確認した事項：

• 資金紛失の報告を調査している。
• 指定された再販業者に販売と発送の一時停止を要請した。
• 過去90日間の購入者向けに安全上のガイダンスを発表した。

依然として未確認の事項：

• 報告された$86 millionという総額。
• 影響を受けた購入者の人数。
• 報告された資金紛失の原因。
• デバイス、ファームウェア、再販業者のいずれかの問題。

次回のLedgerの更新で答える必要がある3つの問い

Ledgerの調査では、報告された事例に技術的な共通パターンがあるか、購入者が影響を受けた購入をどのように特定できるか、そしてすでにウォレットを作成した顧客に現在のガイダンスを超える対応が必要かどうかを明らかにする必要がある。

このガイダンスの変更を注視する読者は、Ledgerの公式サポートページとアカデミーページを確認できる。これらは同社の現在の指示を掲載している情報源である。答えが示されるまでの間、同社の警告は最近の購入者に実務的なセキュリティー上の境界線を示している。未開封のデバイスは初期化せず、リカバリーフレーズを決して共有せず、資産を別の署名デバイスへ移す際は新しいシードを使うべきだ。

この記事は情報提供のみを目的としており、セキュリティー、法律、投資に関する助言を構成するものではない。デバイスまたはリカバリーフレーズが侵害された可能性を懸念するユーザーは、Ledgerの公式サポートガイダンスに従うべきである。