約1億ドルが流出 最初の被害届は、事件が公になる約1カ月前だった 🦖
シンガポール警察は10月28日、改ざんされたLedgerのハードウェアウォレットが少なくとも2件確認され、被害総額は約350万シンガポールドル、約270万米ドルに上ると発表した。
📢 ⏰ 消息群里第一时间说
最初の被害届が出されたのは9月10日。しかし、この件が初めて公になったのは10月9日だった。
警察の初期調査によると、問題はフィッシングサイトではなくハードウェアにあった。
シンガポールの一部小売店で販売されたLedgerに、悪意のある部品が取り付けられていた。
つまり、見た目は新品のデバイスを買ったつもりでも、手元に届く前にすでに何者かに手を加えられていたということだ。
時系列で見ると、さらに分かりやすい。
9月10日 シンガポールで最初の被害届
10月9日 Ledgerのインドネシア、マレーシア、フィリピンの正規販売代理店CryptoBilisのサプライチェーン問題が公になる
10月13日 Ledgerがインドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港の7市場で販売停止を要請
10月28日 シンガポール警察がようやく消費者向けの注意喚起を発表
事件の公表から公式の注意喚起まで、約3週間の空白があった。
元Mt. Gox責任者のMark Karpelesは、シンガポールの空港で購入したLedger Flexにもスパイウェアが仕込まれていたと語った。
また、現地のIT小売店Challengerで買ったデバイスにも手が加えられていたというユーザーもいる。その後、Ledgerはそのユーザーに新品を交換品として送った。
Cointelegraphの集計によると、スパイ用の部品が仕込まれたウォレットから流出した資産は、累計で約1億ドルに迫る 💸
私の見方では、この件の本質は特定のブランドにあるのではない。
ハードウェアウォレットというビジネスの盲点、つまり秘密鍵はオフラインでも、調達のサプライチェーンはオフラインではないということだ。
デバイスは工場を出た後、販売代理店、小売店、倉庫、さらには空港のカウンターを経由する。そのどの段階でも、部品を忍び込ませることができる。
一方、ユーザーが手元で確認できるのは、包装とリカバリーフレーズカードくらいで、基板が交換されていても見抜くのは難しい。
さらに覚えておくべきなのは、あの3週間だ。
最初の被害届は9月10日、公表は10月9日、公式の注意喚起は10月28日。
もし9月10日の時点で誰かがはっきり警告していれば、その後10月に購入した人たちは被害に遭わずに済んだかもしれない ⚠️
サプライチェーン攻撃で最も大きな代償を生むのは、いつだってデバイスそのものではない。情報が半歩遅れることだ。
一般の暗号資産保有者ができることは、実はとても具体的だ。
公式の直販チャネルだけで購入し、受け取ったらまず公式サイトでシリアル番号を確認する。封印シールとリカバリーフレーズカードをチェックし、ファームウェアの更新は公式アプリからのみ行う。
中古品、空港の免税店で売られているもの、出所がはっきりしないものは、すべて信用できないものとして扱おう 🛡️
数百ドルのデバイスが守るのは、全財産だ。この部分で手を抜いてはいけない。
あなたのハードウェアウォレットはどこで買いましたか？シリアル番号を確認したことはありますか？ 🔧
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背後にある仕組みやチャンスも読み解きます 👀🚀
シンガポール警察は10月28日、改ざんされたLedgerのハードウェアウォレットが少なくとも2件確認され、被害総額は約350万シンガポールドル、約270万米ドルに上ると発表した。
📢 ⏰ 消息群里第一时间说
最初の被害届が出されたのは9月10日。しかし、この件が初めて公になったのは10月9日だった。
警察の初期調査によると、問題はフィッシングサイトではなくハードウェアにあった。
シンガポールの一部小売店で販売されたLedgerに、悪意のある部品が取り付けられていた。
つまり、見た目は新品のデバイスを買ったつもりでも、手元に届く前にすでに何者かに手を加えられていたということだ。
時系列で見ると、さらに分かりやすい。
9月10日 シンガポールで最初の被害届
10月9日 Ledgerのインドネシア、マレーシア、フィリピンの正規販売代理店CryptoBilisのサプライチェーン問題が公になる
10月13日 Ledgerがインドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港の7市場で販売停止を要請
10月28日 シンガポール警察がようやく消費者向けの注意喚起を発表
事件の公表から公式の注意喚起まで、約3週間の空白があった。
元Mt. Gox責任者のMark Karpelesは、シンガポールの空港で購入したLedger Flexにもスパイウェアが仕込まれていたと語った。
また、現地のIT小売店Challengerで買ったデバイスにも手が加えられていたというユーザーもいる。その後、Ledgerはそのユーザーに新品を交換品として送った。
Cointelegraphの集計によると、スパイ用の部品が仕込まれたウォレットから流出した資産は、累計で約1億ドルに迫る 💸
私の見方では、この件の本質は特定のブランドにあるのではない。
ハードウェアウォレットというビジネスの盲点、つまり秘密鍵はオフラインでも、調達のサプライチェーンはオフラインではないということだ。
デバイスは工場を出た後、販売代理店、小売店、倉庫、さらには空港のカウンターを経由する。そのどの段階でも、部品を忍び込ませることができる。
一方、ユーザーが手元で確認できるのは、包装とリカバリーフレーズカードくらいで、基板が交換されていても見抜くのは難しい。
さらに覚えておくべきなのは、あの3週間だ。
最初の被害届は9月10日、公表は10月9日、公式の注意喚起は10月28日。
もし9月10日の時点で誰かがはっきり警告していれば、その後10月に購入した人たちは被害に遭わずに済んだかもしれない ⚠️
サプライチェーン攻撃で最も大きな代償を生むのは、いつだってデバイスそのものではない。情報が半歩遅れることだ。
一般の暗号資産保有者ができることは、実はとても具体的だ。
公式の直販チャネルだけで購入し、受け取ったらまず公式サイトでシリアル番号を確認する。封印シールとリカバリーフレーズカードをチェックし、ファームウェアの更新は公式アプリからのみ行う。
中古品、空港の免税店で売られているもの、出所がはっきりしないものは、すべて信用できないものとして扱おう 🛡️
数百ドルのデバイスが守るのは、全財産だ。この部分で手を抜いてはいけない。
あなたのハードウェアウォレットはどこで買いましたか？シリアル番号を確認したことはありますか？ 🔧
毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背後にある仕組みやチャンスも読み解きます 👀🚀
