800万台の販売実績の裏で、ハードウェアウォレットに自分でSMSを送るチップを仕込んだ人物がいる 🦖

🚨 行情变了群里说

Ledgerのセキュリティ研究チームDonjonは火曜日、東南アジアの販売代理店CryptoBilis経由で販売された署名デバイスの一部に、無許可のハードウェアモジュールが仕込まれていたことを確認した。このモジュールはデバイスの画面を監視し、シードフレーズが表示された瞬間に24語すべてを読み取り、内蔵eSIMからLTEネットワークを通じてリアルタイムでデータを送信する ⚠️

この手口のとんでもないところは、セキュアエレメントにもシステムにも手を加えず、取引への署名も改変しないことだ。手元のデバイスは何事もないように見えるのに、資産はすでにごっそり盗まれている。

数字で見てみよう。このモジュールは独立した部品で、独立して電力を供給され、画面だけを利用する。現時点で公式に確認されている被害デバイスは1台。オンチェーン調査員のSpecterが追跡した盗難疑惑額は8,600万ドル超で、別のセキュリティメディアは推定額を1億300万ドルに引き上げている。イーサリアム、トロン、ビットコインの3つのチェーンにまたがる被害だ。一方、Ledgerは自社のハードウェアウォレットを過去10年間で800万台以上販売したとしている 📉

時系列は短い。10月9日金曜日にユーザーから紛失の報告があり、土曜日には公式がデバイス1台に実際に細工がされていたと確認。犯行の仕組みが公表されたのは火曜日だった。現在、欧州の大手チェーンMediaMarktはLedger製品を販売停止にし、販売代理店CryptoBilisは全面的に販売を中止。TrezorとOneKeyまで、急いで距離を置いている。

私の見立てでは、これはソフトウェアへのハッキングではなく、サプライチェーンに穴が開けられた事件だ。ハードウェアウォレット最大の売りは、秘密鍵が決してネットに接続されないこと。だが、デバイスが手元に届く前にすでに分解されていたなら、「ネットに接続されない」という言葉は空文句になってしまう。逆に考えれば、機関が資産をカストディに預けるケースが増えている理由も説明できる。自分で秘密鍵を守れても、配送の段階まで守りきれるとは限らない。

注目すべきなのは、出荷時の改ざん検知と流通経路の責任追及を徹底すれば、こうした攻撃のコストを大幅に引き上げられると、すでにホワイトハッカーが指摘していることだ。だから本当に警戒すべきなのは、特定の一社ではない。端から端まで責任を追及できる体制のない、すべてのハードウェア流通経路だ。

コメント欄で教えてほしい。あなたは今でも、ハードウェアウォレットのシードフレーズを自分で読み上げることに抵抗はない？

毎日、暗号資産のセキュリティに関する注目ニュースをお届け。何が起きたかを伝えるだけでなく、その背景にある仕組みやチャンスまで読み解く 👀🚀