シンガポール当局は、同国の小売チャネルで購入されたLedger暗号資産ウォレット内に悪意あるハードウェア部品が確認されたと、シンガポール警察(SPF)が水曜日に発出した注意喚起で発表した。9月10日以降、少なくとも2件の事例が報告されており、損失額は合計で約350万シンガポールドル(約270万米ドル)に上る。

今回の発見は、暗号資産を管理する秘密鍵をオフラインで保管するために設計されたハードウェアウォレットの中核的な前提を揺るがすものだ。リカバリーフレーズ(新しいデバイスでウォレットを復元できる単語列)は、これらの鍵のマスターバックアップとして機能する。予備調査の結果、一部の部品がリカバリーフレーズや秘密鍵を抽出するために使用され、所有者の同意や知らない間に不正な第三者がウォレットを開き資産を移動することが可能になっていたと判明した。注意喚起では、特定の店舗名は挙げられていない。

警察は、影響を受けた事例を調査中のLedgerと連絡を取っていると述べており、警察自身の調査も続いている。

SPF、リカバリーフレーズの取り扱いに注意を呼びかけ

注意喚起の中で、SPFは、不正改ざんの疑いがあるデバイスにはリカバリーフレーズを入力したり取引を行ったりしないようユーザーに警告した。また、ウォレット提供業者、取引所、警察官を装う人物を含め、鍵やシードフレーズをいかなる相手にも渡さないよう注意を促した。

シンガポールでの報告は10月9日の警告の約1か月前

シンガポールでの最初の被害届は、10月9日に今回のインシデント全体が公表される約1か月前に提出されていた。この日、Ledgerはインドネシア、マレーシア、フィリピンで展開する正規販売店CryptoBilisに対し、販売と出荷の停止を要請した。

当時、Cryptopolitanは、同店で販売されたウォレットからビットコイン、イーサリアム、トロン合わせて8,600万米ドル超が盗まれたと伝えていた。Ledgerはこの金額を確認していない。

10月10日、Ledgerはsaid on X、顧客のデバイス1台から不正なハードウェアインプラントを発見したと発表した。Nano Xの筐体内部に隠されていたこのチップは、セットアップ中に画面から24語のリカバリーフレーズを読み取り、内蔵SIM経由でLTEを使って送信していた。

LedgerのセキュリティチームDonjonは、このチップはセキュアエレメント、オペレーティングシステム、署名プロセスには影響しなかったと述べた。これが同社の「Genuine Check」真贋テストが一度も発報しなかった理由である。

その後数日で、シンガポールに関連する2件の主張が明らかになった。元Mt. Gox最高経営責任者のMark Karpelès氏は、シンガポールの空港で購入したLedger Flexにスパイ用インプラントが仕込まれていたと述べた。また、別の所有者は、地元のIT小売業者Challengerで購入した本体が改ざんされており、Ledgerが後に交換品を送付したと報告した。

10月13日、Ledgerはインドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港の小売業者に対し、製品の販売停止を要請した。

10月28日のpost on Oct. 28で同社は、確認済みの損失はすべて限られた数の販売店を通じて販売されたデバイスによるものだと述べた。東南アジア以外で購入されたデバイスに起因する残高流出は確認されておらず、インフラ、システム、直販チャネルが侵害された兆候もないとしている。

「ネット上で出回っている数字は第三者によるものであり、Ledgerは十分に検証していない」と同社は10月22日に述べた。

Ledgerの長期的な対策:Atom

Ledgerのより長期的な解決策がAtomだ。10月15日にパリで開催されたOp3nイベントで発表された849米ドルのデバイスである。Atomの出荷は早くても2027年夏までずれ込み、その耐タンパー保護機能は、すでに流通しているNano、Flex、Staxの各機種に後付けされることはない。警察の捜査とLedgerの調査が結論を出すまで、影響を受けた店舗名が今後の注意喚起で明示されるかどうかが、自分のデバイスが対象の小売チャネルに該当するかを判断しようとする所有者にとって最も明確な手がかりとなる。