ドイツの家電量販店メディアマルクトザトゥルンは、一部のデバイス内部から不正な部品が発見されたとの報告をウォレットメーカーが調査している間、店舗およびオンラインプラットフォームからLedgerハードウェアウォレットを撤去した。同小売業者はLedgerに連絡を取り、この問題を深刻に受け止めていると述べた。

この措置は、別々のメディアマルクト店舗で購入した2台のウォレットに追加のケーブルとセルラーモジュールが含まれていたと報告した顧客の主張に続くもの。これらの主張により、東南アジアの販売代理店CryptoBilisが販売したハードウェアウォレットに関連する暗号資産の損失から始まったセキュリティ調査がさらに拡大した。この販売停止はドイツにとどまらない影響を持つ。メディアマルクトとザトゥルンの両ブランドを運営するメディアマルクトザトゥルンは、欧州最大級の家電量販店だ。

CoinDeskによると、Ledgerは10月10日、この事件に関連する少なくとも1台のデバイスに不正なハードウェアインプラントが含まれていたことを確認した。同社はその後、確認済みの事例はすべてCryptoBilisを通じて流通したデバイスに関係するものの、10月13日時点で追加の報告についても調査を継続していると述べた。

懸念の中心は、ハードウェアウォレットがユーザーのシークレットリカバリーフレーズを表示する初期設定プロセスにある。ハードウェアウォレットは暗号資産を管理する秘密鍵をオフラインで保管し、リカバリーフレーズはそれらの鍵へのアクセスを復元するバックアップだ。悪意ある部品がこのフレーズを捕捉し、セルラーネットワーク経由で送信すれば、攻撃者が被害者の暗号資産にアクセスできる可能性がある。ただし、Ledgerはドイツで報告されたデバイスが実際に侵害されていたことを公に確認しておらず、東南アジアの調査との関連も示していない。

セキュリティ調査の拡大

オンチェーンアナリストらは、攻撃者が複数のブロックチェーンにわたる300以上のウォレットから8,600万ドルから9,300万ドル流出させたと推定している。Ledgerは最終的な損失額を確認しておらず、自社の内部システムと直接販売チャネルは影響を受けていないと主張している。

Ledgerは当局に協力し、販売代理店管理とハードウェア保護を見直している。同社はまた、正規販売チャネルを通じてデバイスを購入すること、および返品された製品が在庫に再入荷しないようにすることの重要性を強調している。この区別は、チャネルの完全性がなぜ重要かを浮き彫りにする。Ledgerの保証は直接販売を対象とする一方、販売代理店を経由したデバイスは、同社が現在見直し中とする管理策に依存している。

Ledgerは、CryptoBilisを通じてデバイスを購入した顧客に対し、未使用のウォレットを初期化しないよう勧告した。すでに影響を受けている可能性のあるデバイスを有効化した顧客は、Ledgerから直接入手したデバイスで生成した新しいリカバリーフレーズに資金を移すべきだとしている。同社はまた、カスタマーサポートを装う者とはいえ、24語のリカバリーフレーズを決して共有しないようユーザーに警告している。

サプライチェーンへの疑問

メディアマルクトザトゥルンの決定は予防的な対応であり、侵害されたデバイスが欧州で広く流通していたことの証明ではない。調査当局は、顧客が報告した部品の発生源を特定し、追加のデバイスが影響を受けたかどうかを判断し、不正な改造がどのように行われたかを解明する必要がある。

この区別は、デジタル資産の保護にハードウェアウォレットを頼る暗号資産投資家にとって重要だ。Ledgerは内部システムが安全なままだと述べているが、今回の調査は別の脆弱性を浮き彫りにしている。セキュリティ重視のデバイスであっても、攻撃者が物理的なサプライチェーンに介入すればリスクにさらされる可能性がある。このシナリオは、ハードウェアウォレットセキュリティの中核的な前提、すなわち顧客の手に届くデバイスには製造元の部品のみが含まれているという前提に触れるものだ。ドイツでの販売停止により、報告された事件が孤立した事例なのか、より広範な流通問題なのかを解明する圧力が製造元と小売業者の双方にかかっている。10月13日時点でLedgerによる追加報告の調査が継続中である以上、注目すべき点は、ドイツ人顧客の主張が確認済みのCryptoBilis事例と関連するのか、そして調査当局が報告された部品の発生源について何を突き止めるかだ。