シンガポールの暗号資産投資家が、改ざんされたLedgerハードウェアウォレットを購入した結果、約350万シンガポールドル(270万米ドル)の損失を被ったことが、シンガポール警察により明らかになりました。10月28日に発行された注意喚起の中で、当局は少なくとも2件の被害を確認し、苦情が9月10日から寄せられ始めたと発表しました。これは10月により大規模なセキュリティ侵害が公表されるほぼ1か月前のことです。

予備調査により、シンガポールの一部小売店で購入されたLedgerデバイス内に悪意のあるコンポーネントが見つかりました。この種の改変は、セットアップ後にソフトウェア経由で攻撃されるのではなく、製造から販売時点までの間に個々のデバイスが物理的に改ざんされる、サプライチェーン攻撃に分類されます。

不正ハードウェアがリカバリーフレーズと秘密鍵を取得

調査官は、侵害されたデバイスに、リカバリーフレーズと秘密鍵を取得できる不正なハードウェアが含まれていたことを発見しました。攻撃者はこの情報を利用して、所有者の許可なく暗号資産にアクセスし、資金を移動することが可能でした。

ハードウェアウォレットは、秘密鍵をオフラインに保つことでデジタル資産を保護するように設計されています。しかしシンガポールの事案は、顧客がデバイスの使用を開始する前の段階で、物理的な改ざんによってその保護が損なわれ得ることを示しています。リカバリーフレーズは所有資産へのアクセスを復元できるため、これを入手した者は関連ウォレットを支配し資産を移動する可能性があり、それゆえリカバリーフレーズはセルフカストディにおいて最も機密性の高い認証情報として扱われています。

調査の中でLedgerが地域販売を停止

Ledgerは10月上旬、東南アジアの再販業者CryptoBilisを通じて流通したデバイスに関する報告の調査を開始しました。10月10日、同社は少なくとも1台の被害デバイスに不正なハードウェアが組み込まれていることを確認しました。10月13日までに、Ledgerは地域の再販業者・販売代理店に対し販売の一時停止を要請しました。この予防措置は、シンガポール、マレーシア、インドネシア、タイ、フィリピン、ベトナム、香港を対象としています。

同社はシンガポール当局に協力しながら被害事案を確認していますが、疑わしいサプライチェーン侵害の全体規模は依然として不明です。7つの対象地域で追加の被害デバイスが見つかるかどうかも、調査の継続に伴う未解決の問題の一つです。

警察が残りの資産の保護を呼び掛け

シンガポール警察は、暗号資産保有者に対し、改ざんが疑われるデバイスの使用を中止し、リカバリーフレーズの入力を避け、侵害のおそれのあるハードウェアでの追加取引を行わないよう勧告しました。

認証情報が漏洩した可能性がある場合は、新しいリカバリーフレーズを生成した信頼できるウォレットに残りの暗号資産を移行することが推奨されており、その移行は侵害されていないデバイスを通じて行うべきとしています。

今回の事案は、暗号資産ハードウェアウォレットの流通経路に対する懸念の高まりを浮き彫りにしました。オフラインでのセキュリティを目的としたデバイスであっても、攻撃者が配送前に物理製品を改ざんした場合、投資家は重大な損失にさらされる可能性があります。投資家にとっては、デバイスの真正性を確認し、メーカーのセキュリティ勧告に従うことの重要性を再認識させる出来事となりました。

シンガポール警察は、Ledgerが被害を受けたウォレットを確認する中で、報告された損失について調査を続けています。影響を受けたデバイスの台数、流通経路のどの段階で改ざんが行われたか、地域の再販業者での販売がいつ再開されるかなどは、依然として未解明のままです。