ハードウェアウォレットはオフラインにできます。しかし、そのサプライチェーンはオフラインではありません。

Ledgerは、東南アジアの再販業者CryptoBilisを通じてデバイスを購入した人々の暗号資産が盗まれたとの報告について調査しています。あるオンチェーンアナリストは、98のアドレスから約8,690万ドルの損失があったと推定しました。別の調査では、311のウォレットで9,290万ドルが確認されています。最終的な数字はまだ確定していません。

販売前にデバイスへ手が加えられた可能性も指摘されています。たとえば、シードフレーズへのアクセスを可能にする基板の改造です。ただし、これが原因だと判明したわけではありません。LedgerはCryptoBilisに販売停止を求め、過去90日間に同社からデバイスを購入した顧客に注意を呼びかけました。

CZも、サプライチェーン攻撃のリスクに注意を促しました。

「コールドウォレット」という言葉の陰で見落とされがちなのは、デバイスを使い始める前に誰かにシードフレーズを知られてしまえば、鍵を守る対策だけでは不十分だということです。一方で、今回の件は、すべてのLedger製デバイスが危険だと証明するものではありません。

私がセキュリティ面で心がけているシンプルな習慣は、技術そのものだけでなく、それがどのような経路で自分の手元に届いたかも確認することです。暗号資産の世界では、最も弱い部分はコードではなく、箱であることもあります。