OneKey、ウォレット侵害を受けてマレーシア販売店との関係を断絶
TREE NEWS 報道： ハードウェアウォレットメーカーのOneKeyは、この販売チャネルを通じて販売されたLedgerウォレットに関連する一連の資金盗難を受け、マレーシアの小売業者CryptoBilisの製品販売認可を取り消した。同社はまた、影響を受けたユーザーに対して無償でのデバイス交換を提供しており、この動きはサプライチェーンの完全性が今やセルフカストディ市場でいかに真剣に扱われているかを示している。
オンチェーン調査企業YFarmXは、この販売店を通じて流通したデバイスに関連する不審な活動を最初に指摘したうちの一つであり、それがOneKeyの行動を促した。正確な攻撃手法は依然として調査中だが、この事件はよく知られたパターンに当てはまる。すなわち、工場とエンドユーザーの間でハードウェアウォレットが横取りされ、改ざんされ、発送前に再封印されるというものだ。
なぜ販売店チャネルが弱点なのか
ハードウェアウォレットの信頼性は、購入者に届くまでの経路と同じ程度しかない。公式ストアや正規販売代理店は、メーカーにパッケージ、ファームウェアの提供、改ざん検知シールの管理を可能にする。第三者販売店、特に国境を越えて活動する業者は、しばしばその連鎖を断ち切る。
- 初期設定済みリカバリーフレーズ： 侵害された一部のデバイスは、あらかじめ初期化されたシードフレーズとともに出荷され、ユーザーが資金を入金した瞬間に攻撃者が資金を引き出せるようにする。
- ファームウェアの改ざん： 改変されたファームウェアは鍵を漏洩させたり、署名時に偽のアドレスを表示したりする可能性がある。
- 再梱包： デバイスは開封され、複製され、購入者が見分けられないほど巧妙に再封印されることがある。
CryptoBilisの認可を取り消し、無償交換を提供するというOneKeyの決定は、評判を守る防御的な動きだが、同時に前例を作るものでもある。ハードウェアベンダーは、一つの悪質な販売店が製品ライン全体への信頼を損なう可能性があることをますます理解しつつある。
セルフカストディの信頼のパラドックス
皮肉は鋭い。ハードウェアウォレットは、ユーザーがカストディアンを信頼しなくて済むように存在している。しかし流通層は、ほとんどの購入者が精査しない信頼できる仲介者を再び持ち込む。盗難で名指しされたブランドであるLedgerは、ファームウェアとリカバリーサービスの設計をめぐって自らも論争に直面してきたが、今回の一件はデバイスのアーキテクチャそのものではなく小売サプライチェーンに焦点を当てている。
より広い市場にとっての教訓は手続き上のものだ。購入者はメーカーまたは確認済みパートナーから直接購入し、デバイスを自分で初期化し、事前に生成されたシードフレーズを決して受け入れるべきではない。一方、ベンダーは監査権と明確なリコール手段を備えた強制力のある販売店契約を必要としている。
次に起こること
OneKeyとその同業他社は、販売店の審査を厳格化し、シリアル番号検証ツールを追加し、場合によってはユーザーがオンチェーンまたはコンパニオンアプリで確認できる改ざん検知機能を組み込むと予想される。デジタル資産の消費者保護ルールをすでに起草している東南アジアの規制当局は、販売店の説明責任に関心を示すかもしれない。
この事件がセルフカストディの長期的な需要を損なう可能性は低いが、暗号資産において最も弱いリンクはしばしば暗号学的なものではなく物理的なものであることを思い起こさせる。
