Ledgerハードウェアウォレットのサプライチェーン攻撃：8600万ドルが盗難！

Ledgerは先ほど警告を発表しました。東南アジアのユーザーが関与する資産盗難事件について調査中で、被害に遭った端末は販売代理店から購入されたものです。

公式のアドバイス：過去90日以内にLedgerのハードウェアウォレットを購入した場合は、すぐに使わないでください。

被害額は？

オンチェーン調査員のSpecterによると、盗まれた資金はビットコイン$BTC 、イーサリアム$ETH 、トロンネットワーク上の数百のウォレットから流出し、総額は8600万ドルを超えるとのことです。セキュリティ研究者のtanuki42は以前、7200万ドル超と推定していましたが、その額は今も増え続けています。

なぜハードウェアウォレットが攻撃されるのか？

これはソフトウェアの脆弱性ではなく、物理的なサプライチェーン攻撃です。

ハードウェアセキュリティの専門家が、改ざんされたハードウェアウォレットの実例を紹介しました。内部には小型のスパイチップが埋め込まれ、安全素子とOLED画面の間にあるSPIバスに接続されていました。

その仕組みは、画面に表示されたリカバリーフレーズを受動的に傍受し、パターン認識で「読み取り」、内蔵の4GモジュールとeSIMを使って、そのフレーズを直接外部に送信するというものです。この一連の処理はパソコンを経由せず、ソフトウェアの警告も一切作動しません。

ハードウェアウォレットの安全性は、ソフトウェアだけの問題ではありません。工場からあなたの手元に届くまで、どの段階でも細工される可能性があります。