2023年、カスペルスキーが公表した事件があります。ハードウェアウォレットを買う人なら誰もが知っておくべきだと思います。デバイスをパソコンにつないでいないのに、暗号資産が送金されてしまったのです。問題は、購入する前から仕込まれていました。
被害者は中古品の売買サイトでTrezor Model Tを購入しました。箱と本体に貼られた偽造防止用のホログラムシールは、どちらも無傷でした。カスペルスキーが分解して初めて、外装が接着剤と両面テープで貼り付けられていたこと、メイン制御チップがはんだ付けで交換されていたこと、ブートローダーのバージョンが公式には一度も公開されていないものだったことが判明しました。
改造されたファームウェアは、3つのことをしていました。署名検証を無効にして、起動時に警告が出ないようにすること。初期化時またはリセット時に、ランダムに生成されるはずのリカバリーフレーズを、ファームウェアにあらかじめ保存された20組のうちの1組に置き換えること。追加パスワードを設定していても、最初の1文字しか使わないことです。そのため、リセットしても20組の候補から逃れることはできず、攻撃者は最初から秘密鍵を知っていました。取引記録によると、攻撃者は1か月待ってから実行に移しました。
Trezorは、これが第三者による改造品であることを認め、このサプライチェーン攻撃は記事の公開より1年以上前に発生したと述べています。正規品のTrezorがリモートから侵害されたわけでも、新たな脆弱性でもありません。
偽造防止シールだけで安全性を判断することはありません。シールに異常がなくても、中のチップやファームウェアが改変されていないとは限りません。Trezorの公式説明によると、同社のデバイスはファームウェアもデフォルトのリカバリーシードもインストールされていない状態で出荷され、新品にすでにファームウェアが入っている場合は、すぐに公式サポートへ連絡する必要があります。これはTrezor独自の出荷時のルールで、他のブランドも同じとは限りません。それぞれの公式説明を確認してください。
カスペルスキーとTrezorが主に推奨しているのは、公式ルートで購入することと、デバイスに表示された警告を無視しないことです。出所不明の中古ハードウェアウォレットに、私は資産を預けません。