暗号資産ウォレットメーカーのLedgerは金曜日、東南アジアで販売された一部のLedgerウォレットに組み込まれたバックドアにより、窃盗犯が所有者から約1億200万ドル相当の暗号資産を乗っ取ることができたと発表しました。その後、ドイツで販売された他のLedgerウォレットにも埋め込み部品が含まれていることが明らかになりました。
ハードウェアの埋め込み部品は、マレーシアを拠点とする正規Ledger販売代理店Crypto Bilisが販売したLedger Nano Xウォレットの中から、当初、数は不明ながら発見されました。Ledgerは、埋め込み部品が見つかったのは限られた数のデバイスに限られ、いずれも同じ販売者が販売したものだと説明しています。しかし、欧州のあるデバイス所有者は、8月に欧州の大手家電量販チェーンで購入したNano Xに埋め込み部品があり、今週末に同じチェーンの別の店舗で購入した2台目にも同様のものがあったと主張しています。同氏は、これはLedgerのサプライチェーンが侵害されていることを示していると考えています。ユーザーや研究者からは、Ledger FlexやLedger Staxでも埋め込み部品が報告されています。
このような埋め込み部品が見つかったのは今回が初めてではありません。著名なハードウェアハッカーのJoe Grandは今年初め、複数のNano Xウォレットに埋め込み部品を発見し、3月にLedgerに通知しました。この対応の迅速さについては疑問の声が上がっていました。Grandが発見した埋め込み部品は、非正規のオンライン販売者が販売したウォレットに含まれていました。一方、Crypto Bilisや欧州のチェーンが販売したウォレットで見つかった新しい埋め込み部品は、攻撃者が顧客の信頼を悪用するため、正規販売代理店が販売するウォレットを意図的に侵害し始めている可能性を示唆しています。研究者によると、攻撃者もより巧妙かつ体系的になっており、埋め込み部品の検出はさらに困難になっています。
ブロックチェーン研究会社Bitqueryは、侵害されたCrypto Bilisのデバイスに関連する約315のアカウントから暗号資産が盗まれ、現在の価値は約1億200万ドルに上ると報告しています。盗まれた資金にはビットコイン、イーサリアム、トロンが含まれます。一部の資金は凍結されており、他の資金は不正の疑いがあるとしてフラグが立てられたアカウントに移っています。他の販売者からデバイスを購入した所有者も影響を受けたかどうかは不明です。Ledgerは調査期間中、Crypto BilisにLedgerデバイスのすべての販売と出荷の停止を求めています。Johannesというユーザーは、Ledgerの正規販売代理店として掲載されているドイツのMedia Markt店舗で直接Nano Xを購入したところ、埋め込み部品が入っていたと話しています。
出典: Hacker News · 要約：HeadlinesBriefing