ハードウェアウォレットにスパイチップ：8000万ドルはどう盗まれたのか

CZがセキュリティに関する注意喚起をリポストしていた。読んだら背筋が凍った。

マレーシアで長年営業していたLedgerの公式認定販売店が、ハッカーに丸ごと買収された。ウォレットに小型スパイチップを埋め込み、再梱包して出荷。ユーザーの手元に届いた「新品の正規品」は、初日から秘密鍵を外部に送信していた。被害額は8000万ドル超。さらに恐ろしいのは、ハッカーが販売店に秘密保持契約まで強要し、事件が明るみに出るまでかなりの時間がかかったことだ。

この攻撃の流れを整理すると：
1. 侵入口は怪しい取引所でも、フィッシングリンクでもない。サプライチェーンだ。つまり、買ったハードウェアそのものが偽物だった
2. チップはリカバリーフレーズを生成した瞬間に秘密鍵を送信していた。その後いくら資金を入れても、他人のために働くようなもの
3. パッケージ、シュリンク包装、偽造防止シールはすべて元のまま。普通の人が目で見て見分けるのは不可能

今すぐ確認したい3つのこと：
1. ハードウェアウォレットはどこで買った？公式直販以外、第三者販売店、中古プラットフォームで購入したものは、リスクが一気に最大レベルに
2. Ledger公式にはデバイスの真正性チェック（Ledger Live内のGenuine Check）がある。まだ実行していないなら、すぐに確認しよう
3. 大きな資産を1台だけに預けない。分散して保管する。ありきたりな話だが、実際に問題が起きたときに頼れるのはこれだけ

私の見立て：この事件で最も恐ろしいのは8000万ドルではない。「ハードウェアウォレット＝絶対安全」という信頼が崩れたことだ。コールドウォレットはオンライン攻撃を防ぐが、出荷前に細工されていたら防げない。これからハードウェアウォレットを買うなら、公式直販だけにする。多少高くても構わない。

#安全 $BTC