暗号資産セキュリティ界隈で、ハッカーがLedgerハードウェアウォレット内部に物理的にスパイチップを埋め込んだという未確認の主張が流布しており、最大9,300万ドルのユーザー資産がリスクにさらされた可能性が指摘されています。しかし、ハードウェア改ざんの主張を裏付ける公式のインシデント開示、フォレンジック証拠、または被害の確定情報は一切出ていません。一方これとは別に、韓国の金融規制当局は、無登録の仮想資産事業者27社のウェブサイトへの国内アクセスを遮断する動きを見せており、この規制措置は独立裏に検証された報道に基づくものです。

疑惑の内容と、証拠が実際に示すもの

スパイチップの主張は、未検証のアグリゲーターの見出しに由来するもので、物理的なサプライチェーンの侵害、すなわち誰かが配送前にLedgerデバイスを横取りし、ハードウェア自体を改変したことを意味します。未確認の報道れば、この手口で最大9,300万ドルがリスクにさらされた可能性があるとされています。現在までに、この主張を裏付ける捜査機関への届出、デバイスの分解調査、ウォレットアドレス、トランザクションハッシュ、あるいは信頼できる独立系セキュリティ報告は確認されていません。これらの欠落した証拠は、確認の目安にもなります。仮に事実であれば、メーカーのセキュリティ勧告、再現可能なデバイス分解調査、または公式の捜査機関による開示を通じて明らかになるはずであり、アグリゲーターの見出しを通じて出てくることはありません。

Ledger自身が公表したセキュリティインシデントは、同社の公式インシデント検証報告に詳述されている通り、ハードウェア攻撃ではなくソフトウェアのサプライチェーン攻撃でした。2023年12月、攻撃者が分散型アプリケーションが利用するJavaScriptパッケージであるLedger Connect Kitに悪意あるコードを注入しました。Ledgerは、攻撃者が同社のインフラ、コードリポジトリ、またはDApps自体にはアクセスできなかったと明言しています。Bitcoin、Ethereum、TRONにまたがるLedger関連の9,290万ドルのウォレット流出は、埋め込まれたチップではなく、このConnect Kitの脆弱性悪用に起因するものです。

このソフトウェアインシデントは、影響範囲が極めて限定的でした。Ledgerは攻撃を検知してから40分以内に正規のConnect Kit修正を展開し、資産流出が実際に活動していた時間は2時間未満と推定しています。仮に物理的なハードウェア侵害が現実であったならば、リスク特性は根本的に異なるものになります。改ざんされたシリコンを修正できるソフトウェアパッチは存在しないためです。

デバイス改ざんが固有のカストディリスクである理由

ハードウェアのサプライチェーン攻撃は、コールドウォレットの基盤となるセキュリティモデルを迂回します。デバイスのセキュアエレメントやクロコントローラがエンドユーザーに届く前に改変されていた場合、攻撃者はユーザーがどのファームウェアを実行していても、秘密鍵素材を抽出したり、密かにトランザクションに署名したりできる可能性があります。この脅威クラスは、フィッシング、クリップボードのハイジャック、あるいはLedgerが実際に記録したConnect Kit型のフロントエンドインジェクションとは根本的に異なるものです。

ハードウェアウォレット所有者が実行できる一般的なリスク軽減策としては、メーカーの公式ストアまたは正規販売店からのみ購入すること、初回使用前に梱包に改ざんの痕跡がないか確認すること、デバイスに事前設定されたPINや事前生成されたシードフレーズがないことを確認することが挙げられます。正規のハードウェアウォレットが、ユーザーの入力なしにオフラインで生成したシードフレーズをセットアップ中に提示することは決してありません。LedgerのLedger Liveコンパニオンアプリには、暗号学的証明を通じてデバイスの正真性を検証するGenuine Checkも含まれています。また、リカバリフレーズは、それがもたらす露出を理解せずにウェブサイトに入力したり、サポート担当者と共有したり、いかなるデジタル形式でも保存したりしてはなりません。

韓国、無登録暗号資産プラットフォームのウェブサイト27サイトを遮断

別の規制の動きとして、ソウル経済新聞が韓国の金融情報分析院(FIU)を引用して報じたところによると、韓国の放送通信審議会は10月6日と7日の審議を経て、無登録の仮想資産事業者27社が運営するウェブサイトへの国内アクセスを遮断する決議を行いました。対象となったプラットフォームには、海外取引所のKuCoin、MEXC、Phemex、BTCCが含まれます。

この措置は韓国の登録制度に沿ったものです。現地ユーザーにサービスを提供する仮想資産事業者は、特定金融情報法に基づきFIUに登録しなければならず、無登録での運は刑事犯罪となります。ウェブサイト遮断はこの枠組みにおける繰り返し用いられる執行手段であり、KuCoinとMEXCは過去の無登録プラットフォーム遮断でも対象となりました。

FIUは、運営者が代替ドメインに移行するなどの回避の試みを監視し、遮断された事業者が制限を回避しようとした場合はさらなる審議を求めるとしています。この措置は特定のセキュリティ侵害ではなく登録遵守を対象としており、Ledgerのハードウェア疑惑とは無関係です。対象プラットフォームのユーザーが直面するのはアクセスリスクであり、デバイス改ざんに伴うカストディリスクではありません。この2つの脅威対象はそれぞれ異なる対応を必要とします。

この区別が重要である理由

プラットフォームへのアクセス制限は、取引所に保管された残高の取引や引き出しを行うユーザーの能力に影響します。セルフカストディのハードウェアウォレットは、まさにこの取引所カウンターパーティリスクを排除するために設計されていますが、Connect Kitインシデントが示したように、それ自身のサプライチェーンおよびファームウェアの攻撃対象領域を持ち込みます。韓国の措置のような規制執行は、無登録DeFi事業者に対するCFTCの執行にも並行事例が見られるように、セルフカストディを支持する論拠を強めるものです。一方、未確認のスパイチップ主張は、仮に裏付けが取れた場合には、その計算を複雑にするでしょう。

Bitcoinは本レポート時点で83,387ドルで取引されており、過去24時間で0.70%上昇しました。暗号資産のFear & Greed Indexは57を示し、Greed(貪欲)圏にあります。セクターのその他の動きとしては、MetaMaskのAgent WalletがAave MCPサポートを追加したこと、1年間の休眠を経てVitalik関連ウォレットが7,000 ETHを移動したこと、そしてある報道が初期のSolanaホルダーが窃盗により181,000 SOLを失い、資金がEumに移されたと伝えています。

一次証拠、公式の開示、または検証可能なフォレンジック報告が出てくるまで、スパイチップ疑惑は未確認の主張にとどまります。対照的に、韓国の執行措置は独立裏に検証されており、当該地域で運営する名指された取引所のユーザーにとって具体的な規制上の進展を意味します。