Trezor、Safe 5へのハードウェア埋め込み疑惑を受け、CryptoBilis購入者に資金移動を呼びかけ
重要ポイント
- •Trezorは、元正規販売代理店CryptoBilisから3月以降にデバイスを購入したすべてのユーザーに対し、信頼できる販売経路で作成したウォレットへ資産を移行するよう勧告しています。
- •インドネシアの購入者が、8月にマーケットプレイスのTokopediaで購入したTrezor Safe 5内に不正な回路基板を発見。この基板はリカバリーフレーズなどの画面上の情報を取得し、携帯電話ネットワーク経由で送信した疑いが持たれています。
- •Trezorはまだデバイスを検証しておらず、関連する資金被害の報告も受けていませんが、チーフ・コマーシャル・オフィサーは報告を信頼できるものとして扱い、先行してユーザーに警告していると述べました。
- •今回の注意喚起は、CryptoBilis経由で販売されたウォレットに不正な埋め込みがあったことをLedgerが確認した事例に続くもので、改ざん済みLedgerデバイスはシンガポールのユーザー270万ドルを含む暗号資産被害に関連しています。
- •Trezorは、封印や梱包だけでは十分な対策にならないことを認め、ハードウェア保護を見直しているほか、10月13日に販売代理店ネットワークを縮小する計画を発表しました。
ハードウェアウォレットメーカーのTrezorは、元正規販売代理店CryptoBilisから3月以降にデバイスを購入した顧客に対し、Trezor Safe 5に埋め込み（インプラント）が仕込まれた疑いのある事例が報告されたことを受け、資金の移動を呼びかけています。
Trezorは金曜日、この報告を公式ブログ記事で発表し、注意喚起はXでも共有されました。発表によると、インドネシアの顧客が、8月にマーケットプレイスのTokopediaで購入したSafe 5内に不正な回路基板を発見しました。この疑いのある埋め込み部品は、リカバリーフレーズを含むデバイス画面上の情報を取得し、携帯電話ネットワーク経由で送信できた可能性があるといいます。ハードウェアウォレットはリカバリーフレーズをオフラインで保管するよう設計されており、表示内容が漏洩する疑いのあるデバイスは、製品のセキュリティモデルの根幹に関わる問題です。
Trezorは、同デバイスをまだ検証しておらず、関連する資金被害の報告も受けていないとしています。
「デバイスはまだ弊社のラボに届いていませんが、この報告は信頼できるものとして扱っており、確認を待つ間に誰かが資金を失うことになるよりは、今すぐ人々に警告する方が良いと考えています」とTrezorのチーフ・コマーシャル・オフィサー、Danny Sanders氏はCointelegraphに語りました。
同社の広報担当者は、CryptoBilis経由の販売は「非常に少ない」と述べたものの、具体的な数値の提示は拒否しました。また、疑われる改ざんがどこで行われたかは特定できておらず、ハードウェア保護の見直しを進めていると説明。封印や梱包を含む既存の対策だけでは十分ではないことを認めました。実際の資金移動では、信頼できる販売経路で入手したデバイス上で新しいリカバリーフレーズを用いて新規ウォレットを生成し、疑わしいデバイスの画面に表示された可能性のあるフレーズを廃止することが含まれます。
Ledgerの改ざん事例とTrezorへの過去の警告
今回の警告は、10月9日に表面化した、CryptoBilis経由で販売されたLedgerウォレットに関連する暗号資産被害の報告を受けてのものです。Ledgerは、其中1台のデバイスに不正なハードウェア埋め込みがあったことを確認しています。
セキュリティ研究者のJoe Grand氏は以前、TikTokやFacebook上の非正規販売者から購入した改ざん済みのTrezor OneおよびModel Tウォレットについて、8月にTrezorへ警告していたとCointelegraphに語っています。Trezorは、デバイスへの不正アクセスの証拠はないとする以前の主張は、正規販売代理店経由で販売された新規ウォレットに限定したものだったと説明。同社のセットアップチェックは偽造デバイスと改変ファームウェアを対象としていた一方、CryptoBilis販売のLedgerで見つかった埋め込み部品は、ファームウェアを変更せずに画面を読み取っていたとしています。
盗まれたリカバリーフレーズがあれば、攻撃者は別のデバイス上でウォレットを復元し、資金を移動させることが可能になります。
Trezorは10月13日、販売代理店ネットワークを縮小する計画を発表していました。
