Ledgerが確認：影響を受けたユーザー1人のデバイスに、未承認のハードウェア部品が実際に埋め込まれていた。重要なのは、これはFUDではなく、メーカー自身が認めた事実であり、原因はファームウェアのハッキングではなくサプライチェーンにあるということだ。

確定している事実：事件が明るみに出たのは10月9日。問題のデバイスは、東南アジアの販売業者CryptoBilisにさかのぼる。同社はハードウェアウォレットの販売と出荷をすべて停止した。Ledgerによると、自社のインフラ、システム、サービスが侵害された形跡はなく、法執行機関と協力しており、調査への協力にあたったSEAL_911に謝意を示している。被害額については見解が分かれている。オンチェーン調査会社は8,600万ドル超、MistTrackは約9,000万ドル、Bitqueryは約9,290万ドルで、311個のウォレットが関与したと推定している。Ledgerはこれらの数字をまだ確認しておらず、調査会社も、埋め込まれた部品が盗難の直接的な原因だったとは証明できていない。改造部品は画面の下にあるごく小さな基板で、画面の内容を読み取るためのものだった可能性があるとの報道もあるが、これも公式には確認されていない。

本当に胸に刺さるのはここだ。ハードウェアウォレットが約束するのは、「ネットワークは信用しないが、この物理デバイスは信用する」ということだ。ところが第三者から買うということは、自分には見えないサプライチェーン全体を信頼するということになる。ファームウェアなら署名を検証できるが、画面の下にはんだ付けされた小さな基板は検証できない。

今すぐできることは3つ。1つ目、過去90日以内にCryptoBilisで購入し、まだ初期設定していない人は、電源を入れずに公式サポートへ直接連絡すること。2つ目、すでに初期設定した人は、新しいデバイスで新しいリカバリーフレーズを使ってウォレットを作り直し、資産を移すのが最も安全だ。デバイスだけ交換してリカバリーフレーズを変えないのでは意味がない。3つ目、今いちばん警戒すべきなのはフィッシングだ。偽サイトはあなたの24個の単語を狙っている。公式がリカバリーフレーズを尋ねることは絶対にない。ついでに言えば、資産を1台のデバイス、1つのリカバリーフレーズに集中させるやり方も、今回あらためて考え直すべきだ。手元の$BTC や$ETH も含めて。

どんな状況になったら、自己管理型デバイスを信頼できなくなるだろうか。今回のようなサプライチェーンの問題か、それとも「ハードウェア」という言葉そのものが安心感を与えているのだろうか？

#Ledgerがユーザーのデバイスに未承認ハードウェアが埋め込まれていたと確認