犯罪者が正規のデバイスを改造して暗号資産を盗み出していたことが判明したことを受け、Ledgerはハードウェアウォレットの販売管理を強化しました。10月15日の声明で同社は、返品されたウォレットの再販売禁止を改めて確認するとともに、小売店に対し新品のデバイスを展示棚に置かないよう指示しました。この措置は、転売されたウォレットに仕込まれた隠し部品が顧客の24単語のリカバリーフレーズを取得し、モバイルネットワークを通じて送信していたことが発見されたことを受けたものです。

犯罪者は再販売前にデバイスを改造

Ledgerによると、攻撃者は正規のウォレットを購入し、隠し部品を取り付けてから東南アジアの転売チャネルに返品していました。同社によれば、このグループは数か月をかけて作戦を準備し、リカバリーフレーズを収集して盗んだ資金を移動させるシステムを構築していたといいます。

この手口は、暗号技術に触れることなくサプライチェーンの改ざんだけでハードウェアウォレットを突破できることを示しています。リカバリーフレーズは互換性のある任意のデバイスでウォレットのアカウントを復元できるマスターバックアップであり、この24単語を取得するだけで資金を掌握することが可能。

調査は10月9日、マレーシアの転売業者CryptoBilisが販売したデバイスから資産が消失したとの顧客の報告を受けて開始されました。それ以前のLedgerウォレット窃盗事件の調査で、苦情はこの転売業者に結び付けられ、同社はその後販売を停止しました。

隠しインプラントの仕組み

Ledgerのセキュリティチームは、ウォレットのセットアップ時に表示される24単語のリカバリーフレーズをコピーするインプラントを発見しました。この部品はその後、内蔵の電子SIMカードを通じたモバイルデータ接続でこれらの単語を送信していました。同社は、デバイスのセキュリティチップとオペレーティングシステムは改ざんされていなかったと述べています。

この詳細は、攻撃がフレーズが所有者に記録されるために表示されるセットアップ段階で行われたものであり、デバイスのセキュアハードウェア内部の問題ではないことを示しています。

Binance創業者のChangpeng Zhaoは10月9日、X上で、証拠が特定の一人の販売者を経由した攻撃を示しており、すべてのLedgerウォレットに共通する問題ではないと警告しました。

調査の進展に伴い被害額の推計が上昇

ブロックチェーン調査企業Specterは当初、被害額を8,600万ドル超と推計していました。しかし、Bitqueryの10月15日の更新では、6つのネットワークにまたがる324のウォレットから1億200万ドルの盗難資金が追跡されました。これに先立ちデバイスの改ざんが確認されており、調査員が不正な部品を発見したことが確定しています。Ledgerは被害総額や影響を受けた顧客数を確認していません。

Bitqueryによると、Tetherはこの窃盗事件に関連するUSDTの1,000万ドルを凍結しました。同社の調査では、スワップやプライバシーサービスを経由した盗難資金の流れも追跡されています。調査員は個々の顧客ではなくウォレット数を計上しており、一人の所有者が複数の影響を受けたアドレスを管理していた可能性があるとしています。

Ledger、流通と顧客ガイダンスを変更

Ledgerは、ドイツの店舗のデバイスと倉庫に保管されていた在庫を調査チームが検査したところ、いずれも改ざんは見られなかったと述べています。10月14日のXの更新で同社は、香港を含む7つの市場で販売の一時停止を呼びかけました。調査の継続中、アジアの転売業者はウォレットの販売を停止しています。

新しい取り扱い規則は、今回の事件で改ざん済みの製品がサプライチェーンに流入した段階である転売業者段階に重点を置き、販売時までデバイスを管理された保管状態に保つものです。

新規則の下では、正規販売店はウォレットを公開の棚に保管せず、購入時に購入者へ手渡すことが義務付けられます。LedgerはCryptoBilisの顧客に対し、未使用のデバイスをセットアップしないよう勧めており、すでに初期化した場合は新しいリカバリーフレーズを用いた新しいウォレットへ資産を移すよう呼びかけています。本件の未確定事項には、確定した被害総額(LedgerはBitqueryの1億200万ドルという数値を確認していません)と、Tetherがすでに凍結したUSDT1,000万ドル以外に追加の盗難資金が凍結されているかどうかが含まれます。