ハードウェアウォレットメーカーのTrezorは、第三者流通業者経由で販売されたLedgerデバイスに悪意のあるチップが組み込まれていたことが発覚したことを受け、正規販売代理店ネットワークの縮小を進めています。ブロックチェーン調査担当者は現在、CryptoBilis事件による損失額を1億200万ドルと見積もっています。

この一連の事態は、デバイスが購入者に届く前に施された改ざんが、ウォレットに組み込まれた暗号技術を完全に迂回し得ることを示しており、セキュリティ上の問いをハードウェアそのものから、それを届ける流通チェーンへと移しています。

Trezorは10月13日、サプライチェーンに関する声明で予防的な変更を発表し、影響を受ける流通パートナーの認定が2027年1月1日に失効することを確認しました。これらの販売代理店への新規出荷はすでに停止されています。また、Ledgerが同じ事業者経由で流通した改ざん済みデバイスを特定したことを受け、東南アジアの小売業者CryptoBilisを正規ネットワークから除外しました。Trezorは、自社ブランドのデバイスが侵害されたという証拠は受け取っていないと強調しています。

2027年1月からTrezorが販売代理店契約を終了

最高商務責任者のDanny Sanders氏は流通パートナーへの書簡で変更内容を説明し、既存の販売代理店ネットワーク全体に対して従来と同じレベルの監督を維持できなくなったと述べました。

影響を受けるパートナーはホリデーシーズン中は在庫の販売が可能ですが、Trezorから追加の在庫は供給されず、認定は2027年初頭に失効します。Trezorは、製品の調達、保管、扱いに関する更新された契約要件とともに、より厳格なパートナー審査を導入する計画です。第三者の小売業者は、ウォレットメーカーが各地域の市場にリーチする上で長らく中心的な役割を果たしてきましたが、中間業者が増えるごとに工場と顧客の間のリンクが一つ増えることになり、まさにそのサプライチェーンの部分が、CryptoBilisの発覚後に業界全体で強い精査を受けています。

Sanders氏は、この決定が影響を受けた販売代理店の不正行為を示すものではないと強調しました。また、長年のパートナーに公に感謝を述べ、商取引関係を終了することについて謝罪しました。Trezorは、認定を失う小売業者の数や影響を受ける市場については明らかにしていません。

Ledger、隠されたLTEチップとウォレット流出を関連付け

販売代理店網の見直しは、東南アジア全域の顧客に影響を与えたCryptoBilis関連のウォレット流出についてのLedgerの調査に続くものです。LedgerのDonjonセキュリティチームは、影響を受けたハードウェアウォレット内部に隠された不正な電子チップを特定しました。この部品はデバイス初期化時に表示される24単語のリカバリーフレーズを傍受し、内蔵SIMを介してLTE経由でデータを送信していました。リカバリーフレーズだけで互換性のある任意のデバイス上でウォレットを復元できるため、初期化時に捕捉されたフレーズは、攻撃者が後からそのウォレットが保有するすべての資金にアクセスすることを可能にし、ハードウェアに触れる必要はさらにありません。

Ledgerによると、このチップはセキュアエレメントとは独立して動作し、デバイスのOSやトランザクション署名には変更を加えていなかったといいます。同社は、調査した事例がCryptoBilis経由で販売されたデバイスに関係していたことを確認した一方、社内システムと直接販売チャネルは影響を受けていないと主張しています（Xの投稿）。この事件は、過去の顧客データ漏洩やソフトウェアサプライチェーンの脆弱性悪用を含む、Ledgerのセキュリティ実績をめぐって以前から懸念されていた事項に、新たな物理的サプライチェーンの側面を加えるものとなりました。

ブロックチェーンインテリジェンス企業のBitqueryはその後、6つのブロックチェーン上の324のウォレットにわたる推定1億200万ドルの盗難資産を追跡しており、当初の8,600万ドルという見積もりを上回っています（公開された調査）。この分析では、Tron、Bitcoin、Ethereum、Solana、BNB Chain、Polygonにわたる組織的な引き出しが特定され、Tetherは不審な送金に関連する約1,000万USDTを凍結しました。Ledgerは総損失額を独自に確認していません。

調査の拡大に伴いMarktがLedger販売を停止

この調査は欧州の小売業者にも及んでいます。ドイツで購入したハードウェアに改ざんが見られると顧客から報告があり、別々のMediaMarkt店舗で入手した2台のデバイス内部に追加の配線と携帯通信部品が見つかったことを受け、MediaMarktSaturnは該当するLedger製品の販売を停止しました。

Ledgerはドイツからの報告を認めたものの、それに関連する資金損失は確認されていないと述べ、これらのデバイスとCryptoBilis盗難事件との関連は確立されていないとしています。

別のウォレットメーカーであるOneKeyは、CryptoBilisの代理店認定を取り消し、3月1日から10月13日までの間に同小売業者経由で自社製品を購入した顧客に無料の交換デバイスを提供しています。

Ledgerは引き続き、CryptoBilisの顧客に対し未使用デバイスの初期化を控えるよう勧告しています。すでに該当するウォレットを設定済みの方は、新しいリカバリーフレーズを用いて安全に生成したウォレットへ資産を移すべきとしています。

今後注目すべき未解決の論点には、Ledgerによる未確認の総損失額、ドイツのMediaMarktデバイスが最終的にCryptoBilis盗難事件と結び付けられるかどうか、Bitqueryの調査とTetherによる1,000万USDTの凍結措置からさらなる追跡や資産凍結が生じるかどうか、などがあります。

Trezorの販売代理店網をめぐるより広範な変更は2027年1月1日に発効し、改訂された流通管理は顧客のデバイスを扱う中間業者の数を減らすことを目的としています。

出典：Crypto Adventure