Ledgerは、ハードウェアインプラント（不正な埋め込み部品）の被害について調査を進めているとして、東南アジアと香港の再販業者や販売代理店に対し、ウォレットの販売を停止し、店頭から商品を撤去するよう求めています。
同社がこの決定を発表したのは、CryptoBilisから購入されたデバイスが改造されており、暗号資産へのアクセスに使うシードフレーズを盗み出して、LTE接続経由で第三者に送信していたことが判明したためです。
Ledgerは、デジタル資産の取引を管理・承認するための秘密鍵を安全に保管する、物理的な暗号資産ウォレットを販売しています。
複数のユーザーから暗号資産の損失が報告されたことを受け、Ledgerは10月9日に調査を開始しました。その結果、CryptoBilisが販売したデバイスの一部が改ざんされていたことを確認しました。
昨日、LedgerのセキュリティチームであるDonjonは、この再販業者のデバイス内部で見つかったハードウェアインプラントについて詳細を公表しました。Mark Karpelès氏とTibane Labsによる先行報告の内容を、おおむね裏付ける内容です。
Donjonによると、このインプラントのマイクロコントローラーは、ウォレットのセットアップや復元に使われる24語のリカバリーフレーズを検知してデコードし、プロビジョニング済みのeSIMを使ってLTE経由で送信します。
インプラントは独立した別個の部品であり、セキュアエレメントやLedgerのオペレーティングシステムには手を加えず、トランザクションや署名も改変しません。このため、Ledgerの整合性セルフチェックでは検出できません。
新たなインプラントも発見
Ledgerによると、資金の損失が確認されたケースはいずれも、東南アジアの再販業者CryptoBilisが販売したデバイスに関連しています。ただし、アジアや欧州の他の販売業者から購入したデバイスが改ざんされていたとの報告も、ユーザーから寄せられています。
シンガポールの空港にあるMetapodのテック小売店や、欧州のMediaMarktで、改造されたウォレットを購入したと報告するユーザーもいます。
MediaMarktは、販売代理店のAqipa GmbHからLedger製品を仕入れています。これらの報告を受け、同社は現在、店頭から商品を撤去しました。
Ledgerは現在、デバイスの安全性に関する調査が完了するまで、東南アジア（インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア）と香港のすべての販売代理店を対象に、より広範な販売停止を指示しています。
同社は、自社のインフラやシステム、サービス、直販チャネルは安全に利用できると、ユーザーに改めて呼びかけました。
Trezor、再販ネットワークを縮小
もう一つの大手暗号資産ハードウェアウォレットベンダーであるTrezorは、監督体制を強化しサプライチェーン攻撃を防ぐため、再販ネットワークを縮小する方針を発表しました。
「サプライチェーンのセキュリティに終わりはありません。そのため、今後もTrezorと取引を続けるすべてのパートナーに対し、法的枠組みを改定し、デバイスの調達・保管・取り扱いに関する確認を強化することで、基準を引き上げます」とTrezorは述べています。
Trezorは、自社のデバイスが改ざんされた証拠は見つかっていないものの、予防措置として迅速に対応することにしたと説明しています。
同社は対象の再販業者に宛てた書簡で、提携関係を2027年1月1日に終了し、同日付でTrezorデバイスの販売権限を取り消すと通知しました。
