2日間でハードウェアウォレット業界に2度も嫌な思いをさせられました
1度目はLedger
東南アジアの販売代理店CryptoBilisが販売したデバイスにはLTE eSIMモジュールが仕込まれており、シードフレーズの初期化と同時にリアルタイムで送信されていました
10月12日の公式による72時間後のアップデートで、対象範囲が明確になりました
- 影響を受けたデバイスの数は限られています
- 確認された事例はすべてCryptoBilis経由です
- Ledgerの自社システムと直販チャネルには影響ありません
- CryptoBilisはすべての販売を停止しました
CZも投稿で注意喚起し、単一の販売代理店を通じたサプライチェーン攻撃であることがほぼ確定しました
2度目はOneKey
ユーザーの@blocktomが旧版の英語契約書の第IX.8条を掘り起こしました
会社のユーザー損失に対する補償上限は、「0.1 ETHの市場価値」または「100シンガポールドル」のうち高い方
中国語版ではこの条項があっさり削除されていた
OneKeyはドキュメント更新の遅れを認め、謝罪し、利用規約を更新
新しい上限は「デバイスの実支払価格」「過去12か月の有料サービス費用」「100米ドル」のうち最も高い額に変更
ただし同時に第15.4条にはこう書かれている
法令で認められる範囲内で、いかなる原因によるデジタル資産またはその価値の損失についても、原則として責任を負わない
ユーザーはさらに問い続ける
もし調査の結果、自社のハードウェア、ファームウェア、またはアプリの欠陥が原因だったらどうするのか
創業者の@ohyishiが人をブロックした
1つはサプライチェーンが破られ、もう1つは契約が掘り返された
2つの事実を合わせると、同じブラックホールを指している
ハードウェアウォレットというカテゴリーの責任範囲は、みんなが思っているほど明確ではない
/
❚ 自己管理の本当の責任範囲
事実をそのまま並べる
主要ウォレットの利用規約における補償上限は、おおむね次のとおり
- Coinbase Wallet / Trust Wallet / Phantom / Uniswap Wallet：上限100米ドル
- Ledger / Trezor：基本的に本体価格が上限
- SafePal / Tangem：補償は基本的に除外
- OneKeyの新契約：デバイス価格 / 12か月費用 / 100米ドルのうち最大額
要するに
10ドル入れていても10百万ドル入れていても
何かあったときにメーカーがハードウェア1台分を補償してくれるなら、それだけでも良心的な部類だ
多くの場合、ハードウェア代すら補償されない
メーカーのロジックは、実はそう難しくない
自己管理の本質は、秘密鍵がメーカーの手にないことだ。メーカーは資産を凍結することも、オンチェーン取引を巻き戻すこともできない
だから本当の意味での保険は提供できず、低い上限は業界の慣例だ
このロジックは数学的には整合している
でもそれは、多くの個人がコールドウォレットを買う瞬間に抱く心理的期待とは、まったく別物だ
❚ 個人投資家はコールドウォレットを買うとき何を考えているのか
2024年8月にLazarusに全オンチェーン資産を盗まれた。あのときは、まるでベンツE300Lを1台失ったようなものだった
それ以来、コールドウォレットを身をもって実感するようになった
当時、頭の中のロジックはこうだった
- ホットウォレットは安全じゃないから、金を出してコールドウォレットを買う
- コールドウォレットはブランド品だから、たぶん大丈夫
- 本当に何かあったとき、少なくとも補償の期待値はある
- そうじゃなければ、なんでわざわざこの金を出してただの板を買うんだ
でも契約書を開いてみると
- 第一条：何かあっても補償は保証しない
- 第二条：仮に補償があっても、上限はせいぜいハードウェア1台分
- 第三条：シードフレーズ漏えい、フィッシング、第三者サービス、チェーン自体の障害は、いずれも除外
- 第四条：具体的な解釈権は当社にある
要するに、あなたが買っているのは「ホットウォレットより遠隔攻撃に強い署名装置」にすぎない
残りのあらゆるリスクは、あなた持ち
❚ 2つのことを一緒に見る
Ledgerは今回、物理的なサプライチェーン攻撃を受けた
改ざん部品は画面バッファの位置に仕込まれていて、ファームウェアでは検出できず、Genuine Checkでも見抜けず、分解しないと発見できない
これはつまり
- 「正規品のLedgerを買った」という事実だけでは足りない
- 「Ledgerの認定販売店から買った」という事実だけでも不十分
- 「Ledger公式サイトから直接買った」場合だけが、安全の出発点になる
OneKeyは今回、契約を掘り返された
中英版で内容が一致していないこと自体は、ただの小さな不具合にすぎない
だが、そこから導かれる責任範囲こそが、本当に目を引く
- 製品自体の欠陥で損失が出た場合、契約上の補償上限は100米ドルまたはデバイス価格
- ユーザーが問い詰めても、メーカーは正面から答えない
- 追いかけすぎるとブロックされる
2つを合わせると、業界全体の集団的な実態暴露になる
ハードウェアウォレットという製品カテゴリーの本当の約束は「署名ツール」であることだ
資産の金庫なんて、みんなの思い込みによる脳内補完にすぎない
/
❚ 個人投資家はどうすべきか
原理の話は終わったので、使える話をしよう
1/ メーカーの補償に期待しない
- どんな自己管理ウォレットでも、どんなブランドでも、「世界売上No.1」でも同じ
- 契約書の底はどれもこんなものだ
- 心の準備として、補償ゼロを前提にしておく
2/ コールドウォレットは公式から直接購入する
- 販売代理店は使わない
- 某フリマアプリは使わない
- 友人経由の転売は使わない
- 「公式より安い」あらゆる販路は警戒に値する
3/ 大きな資産は分散保管する
- 1つのコールドウォレットに全財産の半分以上を入れない
- 残りはマルチシグ、複数アドレス、複数ブランドで分散する
- マルチシグは少なくとも2つの異なるブランドを使い、1社の不具合で全滅するのを避ける
4/ 定期的にアドレスをローテーションする
- 一定期間ごとに1つずつ入れ替える
- 旧アドレスをコールドバックアップとして使う
- つまり、アカウントに新しい鍵を付けるようなもの
5/ 中央集権型取引所に一部を残す
- 直感に反するが本当
- 大手取引所のSAFUや保険は、極端な状況ではむしろある程度の支えになる
- 家財をCEXに置けという意味ではなく、コールドウォレットを唯一の防衛線にするなということ
/
要するに、この2つを合わせると、「ハードウェアウォレットを買えば安全」という幻想は完全に崩れる
ハードウェアウォレットは、セキュリティ戦略の一部にすぎない
本当の安全とは、分散・冗長化・定期メンテナンスである
筋トレと同じで、永遠に怪我しない動きなんてない。あるのは継続して鍛える習慣だけ
2024年にあのベンツを失くしたときの自分の反省
今日までずっと覚えている一文を書いたことがある
「暗号資産の世界では、あなたが戦っているのは市場ではなく、人類全体の悪意だ」
今見てもやはりそうだ