Ledgerのハードウェアウォレット盗難事件について、昨日また新たな数字が発表されました。オンチェーン追跡で335のアドレスが確認され、被害額は約1億200万ドルに上ります。

最もつらいのは、これらのデバイスが正規ルートで購入されたものだったということです。外装は純正で、パッケージも本物。公式の真贋チェックにも合格していました。問題はケースの中にありました。誰かが約2ミリのチップを仕込み、画面のデータケーブルに接続し、その隣にモバイル通信モジュールを取り付けていたのです。

ウォレットを初期化し、画面に表示された24個の単語を書き写すとき、チップが画面の内容を撮影し、そのままモバイル通信で外部に送信します。この一連の処理ではセキュリティチップに触れず、ファームウェアも変更しないため、ソフトウェア上では検知できません。

被害者には何の落ち度もありませんでした。シードフレーズを漏らしておらず、署名もしていないのに、資産はなくなってしまいました。

各社のオンチェーン分析による推定額にはかなり差があります。Bitqueryは1億200万ドル、Specterは8600万ドル超、Arkhamが特定した152のアドレスでは約7160万ドルです。Ledgerは公式にはどの数字も認めず、組織犯罪であり、販売流通経路が標的にされたと述べるにとどまっています。

私の考えでは、ハードウェアウォレットで解決できるのは「秘密鍵をネットに接続しないこと」であって、「手元にあるその箱が本物かどうか」ではありません。購入後、最初にすべきことは封印を確認することで、いきなり接続して使うことではありません。

ハードウェアウォレットを使っている方は、公式サイトから直接購入しますか？それとも第三者経由ですか？

#BTC #钱包安全 #暗号資産