Ledger、地域リセラーに関連するウォレット損失を調査
TREE NEWS 報道： ハードウェアウォレットメーカーのLedgerは、東南アジアの単一の流通チャネルに起因する一連のユーザー資金損失インシデントについて社内調査を開始したと、同社がセキュリティ通知で発表した。複数のユーザーが、その地域のリセラーから購入したデバイスを通じて保有していた資産が盗まれたか、アクセス不能になったと報告した。初期のデータ分析とソース追跡の後、Ledgerは影響を受けたアカウントに共通する背景特性を特定し、販売代理店の業務が損失に関連している可能性が高いと示唆した。同社は潜在的に影響を受ける関係者に緊急警報を発令し、その地域でデバイスを購入した人は直ちにハードウェアの完全性を検証するよう促し、影響を受けたユーザーのフォレンジック作業を支援して正確な盗難経路を特定すると約束した。
ソフトウェアのバグよりもサプライチェーン攻撃が重要である理由
ハードウェアウォレットは、秘密鍵がデバイスから決して出ないという単純な約束で販売されている。デバイス自体が購入者に届く前に侵害された場合、その保証は崩壊する。悪意のあるリセラーは、パッケージを改ざんしたり、シードフレーズを事前に初期化したり、本物に見える偽造品とすり替えたりすることができる。被害者はシードがデバイス上で生成されたと信じているため、第三者がすでにコピーを保持しているとは疑う理由がない。これは目新しい攻撃ベクトルではない。Ledger自体も2020年に、サードパーティのフルフィルメントパートナーを通じて悪意のあるファームウェアがLedger Nano Sユニットに搭載されて出荷されたサプライチェーン侵害を経験したが、その再発は脅威がいかに根強いかを浮き彫りにしている。
暗号資産セキュリティにおける販売代理店の盲点
このインシデントは、業界の信頼モデルにおける構造的弱点を露呈している。セキュリティ予算はファームウェア監査、セキュアエレメント、バグバウンティに流れ、工場から消費者への物理的な経路はしばしば外部委託され、軽度に監視されている。公式チャネルは設計上安全だが、しばしば安価で新興市場で入手しやすいグレーマーケットや地域リセラーは、その境界の外に位置する。暗号資産の採用が急速に進む東南アジアのユーザーにとって、直接購入の手間は、まさに間違ったベンダーへと彼らを押しやる可能性がある。
- 直接購入：メーカーまたは検証済みの正規パートナーからのみ購入する。
- デバイスを検証：改ざん証拠のあるパッケージを確認し、初回起動時にデバイスが新しいシードを生成することを確認する。
- 事前設定されたシードを信用しない：ウォレットが既にリカバリーフレーズが書かれた状態で届いた場合、侵害されているとみなす。
- 資金を移動：フラグが立てられたチャネルを通じて購入した人は、新しく生成され検証されたウォレットに資産を移行すべきである。
今後の展望
Ledgerの影響を受けたユーザーとのフォレンジック協力は、これが意図的な詐欺行為なのか、リセラーレベルでの過失なのかを決定するだろうが、いずれにせよ評判のリスクは高い。自己管理セクターにとってのより広い教訓は、ハードウェアセキュリティはそれを届けるラストマイルと同じ強さしかないということである。ウォレットメーカーに対し、パッケージに検証可能な来歴を組み込むこと——改ざん証拠シール、QRベースの保管チェーン検査、デバイス上の証明——への新たな圧力が予想され、取引所やウォレットベンダーはユーザーをより強く公式チャネルへ誘導するだろう。自己管理の採用が成長するにつれ、最弱のリンクとなるのは暗号技術ではなく、サプライチェーンであることが判明するかもしれない。
