Ledgerは10月10日、ユーザー資金が盗まれた事件で、被害を受けたデバイスに「未承認のハードウェア部品が組み込まれていた」と認めた。10月11日にはさらに、確認済みの暗号資産盗難事例はすべて、販売代理店CryptoBilis経由で販売されたデバイスに関係しており、影響を受けたデバイスの数は「限られている」と説明した。これはサプライチェーン上の問題であり、ユーザーがフィッシングリンクを誤ってクリックしたという話ではない。

判明している事実として、Ledgerは、部品が組み込まれていた正確な機種や動作の仕組み、暗号資産の盗難において果たした役割を明らかにしていない。CryptoBilisはかつて、マレーシア、インドネシア、フィリピンにおけるLedgerの正規販売代理店だったが、現在はすべてのハードウェアウォレットの在庫販売を停止している。これは、Ledgerが10月9日に自社製デバイスの販売停止だけを求めたのに比べ、対象範囲が広い。Ledger側は、自社のファームウェア、システム、サービス、直販チャネルは侵害されていないと強調している。被害額については、Ledgerは数字を一切確認していない。ブロックチェーン分析機関による推定は7200万ドルから9290万ドルまで幅があり、311個のウォレットが関係し、$BTC 、$ETH 、TRON、BNB Chainにまたがっている。

本当に議論すべきなのは「ハードウェアウォレットはまだ大丈夫なのか」ではなく、信頼をどこに置くかだ。ハードウェアウォレットのセキュリティモデル全体は、「手元にあるこのデバイスは、工場出荷後に誰にも手を加えられていない」という前提に立っている。そしてその前提を支えるのは、在庫と流通経路の管理だ。まさに、最も目立たず、最も突破されやすい部分である。デバイスの画面の下に小さな回路基板が取り付けられ、24語のリカバリーフレーズが携帯電話回線を通じて送信されていたとの報道もあるが、こうした詳細はいずれもLedgerが確認していない。現時点では手がかりとして受け止めておこう。

CryptoBilisからデバイスを購入した人への実践的なアドバイスをひとつ。未開封のデバイスは初期設定しないこと。すでに設定して暗号資産を移した人は、同じリカバリーフレーズを新しいデバイスで復元しないこと。そうすると秘密鍵とアカウントが一緒に再現されてしまうため、新しいリカバリーフレーズを作成してから資産を移すべきだ。24語のリカバリーフレーズを教えるよう求める「カスタマーサポート」は、すべて詐欺だ。

聞きたいのは、「正規販売代理店」自体にも問題が起こり得るとしたら、あなたは今後も第三者の販売チャネルでコールドウォレットを買うだろうか。それとも、多少高くても公式サイトからの直送を選ぶだろうか？

#Ledgerがユーザーデバイスへの未承認ハードウェア部品の組み込みを認める