欧州の家電量販店MediaMarktの親会社であり、売上高で欧州最大の家電量販店であるMediaMarktSaturnは、端末の改ざん報告を受けた予防措置として、すべての市場に展開する店舗およびオンラインプラットフォームからLedgerハードウェアウォレットを撤去しました。Ledgerはフランスに拠点を置くハードウェアウォレットメーカーで、暗号資産の資金を管理する鍵を保管するために設計された小型のオフライン端末を製造しています。

「これは予防措置として実施したものです」と同社の広報担当者は述べ、同小売業者がLedgerと連絡を取り合っており、本件を重く受け止めていると付け加えました。

今回の撤去は、ドイツの別々のMediaMarkt店舗で購入されたLedger端末内に、セルラーモジュールを含む不正なハードウェア部品が顧客によって発見されたとの報告を受けてのものです。Ledgerは、ドイツのこの事例に関して資金の盗難報告はないとしています。

本件は、東南アジアのリセラーCryptoBilis経由で販売された端末に関わる暗号資産窃盗のより広範な調査の一部です。Ledgerは、影響を受けた端末に組み込まれた不正なハードウェアインプラントが、セットアップ中に画面からユーザーの24単語のウォレットリカバリーフレーズを取得し、電子SIMカードを介して携帯電話網経由で送信できることを確認しました。つまり、送信は所有者のコンピュータやインターネット接続に依存しないことになります。BitcoinKEによるこのインプラントに関する過去の報道では、8,000万ドルを超える暗号資産の損失が挙げられていました。

インプラントによって取得されたリカバリーフレーズは、暗号資産ウォレットを復元して資金にアクセスするために悪用される可能性があります。Ledgerは、このインプラントは端末のセキュアチップやオペレーティングシステムを改変しておらず、同社自身のインフラ、システム、サービスが侵害された兆候はないと述べています。

同社は、損失の総額や影響を受けた顧客の数については確認していません。同社は、本件に紐づく確認済みの窃盗はすべてCryptoBilis経由で販売された端末に関わるものであり、他の端末や場所に関する報告については調査が継続中であるとしています。

今回の一件は、ハードウェアウォレット業界における一連のサプライチェーンセリティの動きに加わるものです。同業メーカーのTrezorはサプライチェーンセキュリティの見直しの一環としてハードウェアウォレットのリセラーとの取引を打ち切る措置を取っており、また別に、配送パートナーでの情報漏洩を受けて約14,000人の顧客のデータが露出したと発表しています。Coldcardビットコインウォレットのエクスプロイトを検証したケーススタディも、コールドストレージ端末に影響するハードウェアセキュリティの脆弱性に注目を集めています。

MediaMarktSaturnによる今回の撤去は、ハードウェアウォレットメーカーが直面するサプライチェーンリスクを浮き彫りにしています。暗号資産のリカバリーフレーズをオフラインで保持するよう設計された端末――これはこうした製品の核となるセキュリティ機能です――は、顧客の手に渡る前のいかなる段階で不正な部品が組み込まれても、侵害される可能性があります。

同小売業者の決定は、個別の店舗や特定のオンライン販売チャネルに限定されず、国際的なすべての市場に適用されます。今後の注目は、CryptoBilis経由で販売された端末以外に確認済みの窃盗が及んでいるかどうかを含む、継続中の調査に向けられています。

出典: BitcoinKE