ユーザーが不正な改変を受けたデバイスを報告したことを受け、ハードウェアウォレットメーカーが物理的な部品の埋め込みを認めました。同様の主張は欧州各地でも浮上しています。

CryptoPotatoの報道によると、Ledgerは同社のウォレット1台の内部でハードウェアへの不正な部品の埋め込みが発見されたことを確認しました。この確認は、欧州で購入されたLedger端末に隠されたハードウェア部品が埋め込まれていたとユーザーが発見したことを受けたものです。この件は、Bitcoin.com Newsが最初に詳しく報じました。

Ledgerは、暗号資産業界で最も広く利用されているハードウェアウォレットをいくつか製造しています。これらのデバイスは、秘密鍵をオフラインに保ち、インターネットに接続されたコンピューターやスマートフォンから隔離するよう設計されています。この隔離こそが、ハードウェアウォレットのセキュリティの前提です。デバイスがユーザーの手に届く前に物理的な改変が加えられれば、その前提は直接損なわれます。

ここでいうハードウェアへの不正な部品の埋め込みとは、当初の製造設計にはない物理部品がデバイスに追加されることを指します。理論上、こうした部品は、ウォレットが扱うデータの傍受、漏えい、改ざんに利用される可能性があり、機密性の高い鍵情報も対象となり得ます。今回発見された部品の具体的な機能については、入手可能な報道では明らかにされていません。

改ざんされたウォレットに関する報告は、最初の事例にとどまらず広がっているとされ、欧州のほかの地域でも同様の主張が浮上しています。影響を受けたデバイスの範囲や台数は、独立した検証によって確認されていません。これらの事案が、侵害を受けた単一のロット、より広範なサプライチェーン上の問題、あるいは製造後に個別に行われた改ざんのいずれによるものかは、依然として不明です。

ハードウェアウォレットのサプライチェーンは、これまでも精査の対象となってきました。デバイスは工場での製造から顧客への最終配送までに、販売代理店、小売業者、転売業者など複数の手を経ることがあります。各段階でセキュリティ管理が不十分であれば、改ざんが起きる可能性があります。メーカーは通常、このリスクを防ぐため、開封の痕跡が残る梱包や真正性の確認に頼っています。

Ledgerは過去にもセキュリティ上の問題に直面しており、その中にはデバイスのハードウェアではなく顧客情報が関係した2020年のデータ漏えい事件も含まれます。この過去の件では、秘密鍵が直接侵害されなかったにもかかわらず、ユーザーの信頼が損なわれました。ハードウェアへの不正な部品の埋め込みが確認された場合は、デバイスそのものの物理的完全性に関わるため、異なる、そしてより深刻ともいえるリスクに該当します。

現在の報道によると、同社は影響を受けた可能性のある台数や、予定している是正措置について、まだ詳細を明らかにしていません。デバイスが改ざんされた疑いがあるユーザーには、一般に使用を中止し、メーカーへ直接連絡することが推奨されます。

市場への影響

ハードウェアへの不正な部品の埋め込みが確認されたとのニュースは、ハードウェアウォレット事業者全般への市場心理を悪化させる可能性があります。物理的なセキュリティの保証は、各社の価値提案の中核をなしているためです。Ledgerの市場での地位は、同社のデバイスが干渉を受けることなく製造・流通しているというユーザーの信頼に大きく左右されます。

欧州各地で改ざんされた製品がさらに確認されれば、この事案をきっかけに、業界全体で小売・流通経路に対する監視が強まる可能性があります。その結果、競合するハードウェアウォレットメーカーも、自社製品に同様の問題があるという直接的な証拠がない場合でも、サプライチェーンの安全対策について厳しい質問を受ける可能性があります。

今回確認されたハードウェアへの不正な部品の埋め込みは、暗号資産の保管に使われるデバイスにとって、物理的なセキュリティがソフトウェアのセキュリティと同じくらい重要であることを改めて示しています。影響を受けた製品の範囲やLedgerの対応については、状況の進展に伴い、さらなる詳細が明らかになるとみられます。

よくある質問

この文脈におけるハードウェアへの不正な部品の埋め込みとは何ですか？

ウォレット端末の本来の製造設計にはない不正な物理部品が追加されたことを指します。データの傍受や改ざんを可能にするおそれがあります。

Ledgerは、影響を受けたデバイスの台数を公表していますか？

入手可能な報道では、企業が事実を認めるきっかけとなった最初の事例以外に、影響を受けた台数が確認されたとは明らかにされていません。

これは、Ledgerのウォレットがすべて侵害されているという意味ですか？

いいえ。報道されているのは、Ledgerの全製品ラインに確認済みの問題があるということではなく、特定の改ざんされた製品についてです。

ウォレットが改ざんされた疑いがある場合、ユーザーはどうすればよいですか？

一般に、ユーザーには直ちにデバイスの使用を中止し、懸念を報告するためLedgerに直接連絡することが推奨されます。

AltcoinGordonが最初に報じ、Grace Mitchellが執筆。許可を得て再掲載。

AltcoinGordonで元記事を読む →

「Ledger、欧州での報告が相次ぐ中、改ざんされたウォレットでハードウェア部品の埋め込みを確認」は、TheCoinrise.comに最初に掲載されました。