コールドウォレットも「コールド」ではなくなった：Ledgerスパイチップ事件の振り返り
サプライチェーン攻撃が、ハードウェアウォレットの安全神話を書き換えつつある。10月10日、Ledgerは公式に、被害を受けたユーザーのデバイスから「許可されていないハードウェアの埋め込み」が発見されたと認めた。Ledgerがデバイスの物理的な改ざんを認めたのは初めてであり、今回の東南アジアのユーザーを狙った資金窃取事件における、最初の現物証拠となった。
これまでの経緯：
10月9日、Ledgerは東南アジアの複数のユーザーから資金が盗まれた件について調査中だと発表。関係するデバイスはいずれも、東南アジアの販売代理店CryptoBilis（マレーシア、インドネシア、フィリピンをカバー）を通じて販売されていた。Ledgerは直ちに、同代理店に対してすべての販売と出荷を一時停止するよう求めた。
10月10日、Ledgerは少なくとも1台のデバイスに不正なハードウェアが埋め込まれていたことを確認。被害を受けたユーザーへの個別連絡を開始し、関係当局と連携して出所を追跡していると発表した。
10月11日、Ledgerは「被害を受けたデバイスの規模は限定的」と発表。確認された事例はすべてCryptoBilis経由のものに限られ、公式サイトからの直販や自社システムには影響がないとした。一方、CryptoBilisは自主的に、ハードウェアウォレットの在庫すべての販売を停止した。これはLedgerが当初求めた範囲を上回る措置だった。
被害額については、両者の見解に大きな開きがある。オンチェーン分析者のSpecter、Bitquery、Yfarmxはそれぞれ、300以上のウォレットに関わる8,600万〜9,340万ドルの盗難被害を推定しており、$BTC 、$ETH 、$TRX が対象となった。一方、Ledgerは金額を一切確認しておらず、「限定的」と強調するにとどまっている。報道によると、Tetherおよび法執行機関との連携により、そのうち1,000万ドル超が凍結された。
注意すべき点がいくつかある。研究者は早くも9月16日、本物の回路に紛れ込ませたスパイ用の埋め込み部品を実演していた。改ざんされたデバイスは、半額でグレーマーケットに流通することさえあった。また、Mark Karpelèsもマレーシアで、Nano Xの画面の裏に余分な電子部品があるのを発見している。問題のあるデバイスは、すでにしばらく流通していたのだ。
ハードウェアウォレットユーザー向けの自己確認リスト：
一、CryptoBilisで購入し、まだ初期設定していないデバイスは、電源を入れず、シードフレーズを生成しないこと。
二、すでに使用を開始している場合は、できるだけ早く公式サイトから直接購入した新しいデバイスに移行し、新しいシードフレーズを使うこと。
三、「公式」を名乗って24語のシードフレーズを尋ねる行為はすべて詐欺。Ledgerが尋ねることは決してない。
四、公式サイトの価格を大幅に下回る「新品」のデバイスには、絶対に手を出さないこと。
この事件は業界への警鐘となった。攻撃者がセキュリティチップを迂回し、出荷前に直接手を加えるなら、デバイス自体の設計がどれほど堅牢でも意味をなさない。最終的に安全性を左右するのは、サプライチェーンの透明性だ。
#Ledgerがユーザーデバイスへの不正なハードウェア埋め込みを確認
#Ledger #ハードウェアセキュリティ
上記は投資助言ではありません。DYOR（ご自身で調査してください）。取引にはリスクが伴います。
サプライチェーン攻撃が、ハードウェアウォレットの安全神話を書き換えつつある。10月10日、Ledgerは公式に、被害を受けたユーザーのデバイスから「許可されていないハードウェアの埋め込み」が発見されたと認めた。Ledgerがデバイスの物理的な改ざんを認めたのは初めてであり、今回の東南アジアのユーザーを狙った資金窃取事件における、最初の現物証拠となった。
これまでの経緯：
10月9日、Ledgerは東南アジアの複数のユーザーから資金が盗まれた件について調査中だと発表。関係するデバイスはいずれも、東南アジアの販売代理店CryptoBilis（マレーシア、インドネシア、フィリピンをカバー）を通じて販売されていた。Ledgerは直ちに、同代理店に対してすべての販売と出荷を一時停止するよう求めた。
10月10日、Ledgerは少なくとも1台のデバイスに不正なハードウェアが埋め込まれていたことを確認。被害を受けたユーザーへの個別連絡を開始し、関係当局と連携して出所を追跡していると発表した。
10月11日、Ledgerは「被害を受けたデバイスの規模は限定的」と発表。確認された事例はすべてCryptoBilis経由のものに限られ、公式サイトからの直販や自社システムには影響がないとした。一方、CryptoBilisは自主的に、ハードウェアウォレットの在庫すべての販売を停止した。これはLedgerが当初求めた範囲を上回る措置だった。
被害額については、両者の見解に大きな開きがある。オンチェーン分析者のSpecter、Bitquery、Yfarmxはそれぞれ、300以上のウォレットに関わる8,600万〜9,340万ドルの盗難被害を推定しており、$BTC 、$ETH 、$TRX が対象となった。一方、Ledgerは金額を一切確認しておらず、「限定的」と強調するにとどまっている。報道によると、Tetherおよび法執行機関との連携により、そのうち1,000万ドル超が凍結された。
注意すべき点がいくつかある。研究者は早くも9月16日、本物の回路に紛れ込ませたスパイ用の埋め込み部品を実演していた。改ざんされたデバイスは、半額でグレーマーケットに流通することさえあった。また、Mark Karpelèsもマレーシアで、Nano Xの画面の裏に余分な電子部品があるのを発見している。問題のあるデバイスは、すでにしばらく流通していたのだ。
ハードウェアウォレットユーザー向けの自己確認リスト：
一、CryptoBilisで購入し、まだ初期設定していないデバイスは、電源を入れず、シードフレーズを生成しないこと。
二、すでに使用を開始している場合は、できるだけ早く公式サイトから直接購入した新しいデバイスに移行し、新しいシードフレーズを使うこと。
三、「公式」を名乗って24語のシードフレーズを尋ねる行為はすべて詐欺。Ledgerが尋ねることは決してない。
四、公式サイトの価格を大幅に下回る「新品」のデバイスには、絶対に手を出さないこと。
この事件は業界への警鐘となった。攻撃者がセキュリティチップを迂回し、出荷前に直接手を加えるなら、デバイス自体の設計がどれほど堅牢でも意味をなさない。最終的に安全性を左右するのは、サプライチェーンの透明性だ。
#Ledgerがユーザーデバイスへの不正なハードウェア埋め込みを確認
#Ledger #ハードウェアセキュリティ
上記は投資助言ではありません。DYOR（ご自身で調査してください）。取引にはリスクが伴います。