10月13日、この件の性質が変わりました。
発端は、東南アジアの販売代理店CryptoBilisで問題が発生したことでした。
現在Ledgerは、7つの市場におけるすべての販売代理店および流通業者に対し、販売の一時停止と製品の店頭撤去を求めています。
インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港です。
Ledger Donjon（公式セキュリティ研究チーム）は、10月13日の更新で、埋め込まれていた装置の具体的な型番を確認しました。ST STM32G431KBU6（ARM Cortex-M4プロセッサー、128KBフラッシュメモリ）＋LTEモジュール＋eSIMが、デバイス筐体の内部に隠されていました。デバイスの初期設定時にリカバリーフレーズが表示されるとデータを傍受し、4Gネットワーク経由でリアルタイムに外部へ送信します。
Ledgerの公式真贋確認機能「Genuine Check」では、この埋め込み装置を検出できません。検証するのはセキュアエレメントだけで、埋め込み装置はセキュアエレメントには触れず、隣で「聞き耳を立てている」だけだからです。
被害額は現時点で9,290万ドルと推定され、311個のウォレットが関係しています。
しかし、さらに注目すべきなのはヨーロッパです。
元Mt. Gox CEOのマーク・カルプレス氏は、シンガポールの空港で購入したLedger Flexから、改良版の埋め込み装置を発見しました。ドイツのユーザーは、別々のMediaMarkt店舗2店でLedgerを1台ずつ購入したところ、どちらにも埋め込み装置が入っていたと報告しています。これを受け、MediaMarktSaturnはLedger製品の世界全店での販売停止を発表しました。
Ledgerの公式見解では、資産盗難が確認された事例は、現時点ではCryptoBilisから購入したデバイスに限られており、他地域のデバイスが資産損失を引き起こしたことは確認されていません。ただし、ヨーロッパからの報告については調査中です。
TrezorとOneKeyは、CryptoBilisとの関係を断ちました。
この件で問われているのは、もはや「CryptoBilisに問題があったのか」ではなく、「埋め込み装置がサプライチェーンのどの段階で入り込んだのか、そしてその段階がどれほど広範囲に及ぶのか」です。
過去120日以内に、東南アジアまたは香港のLedger公式サイト以外の販売経路でハードウェアウォレットを購入した場合：
未初期化の場合——電源を入れないでください。
使用中の場合——新しいリカバリーフレーズで初期化した新品のデバイスに資産を移してください。現在のリカバリーフレーズは「漏えいした」ものとして扱ってください。
$BTC
#Ledger

#ledger要求东南亚及香港经销商暂停销售