Ledgerは、影響を受けた顧客1名のウォレットに不正なハードウェア移植が確認されたと発表した。捜査当局は、東南アジアの販売代理店を通じて販売された改ざんされたデバイスに関連する暗号資産窃盗の疑い額が約9320万ドルに上ると推定している。同社は、自社のセキュリティインフラ、システム、サービスが侵害された形跡は見つかっていないと述べた。
同地域を拠点とする正規販売代理店のCryptoBilisは、調査が完了するまで、すべてのハードウェアウォレット在庫の販売を停止した。
Tibane Labsがデバイス内部で発見したもの
調査は、顧客が販売代理店からLedgerデバイスを購入した後に暗号資産を失ったと報告したことから始まった。Tibane Labsは、リカバリーフレーズを傍受するように設計されたLedger Nano Xの移植を3世代にわたって記録した。これは、Joe Grandによる初期の移植の分解調査と、9月に検査した2つの検体を組み合わせたものだ。
移植は、ウォレットのセキュアエレメントとディスプレイ間で送信される電子信号を監視することで機能する。攻撃者はこれらの信号から24単語のリカバリーフレーズを再構築し、セルラーモデム経由で送信できる。物理的な窃盗は不要で、Ledgerのセキュアチップも侵害されない。
Tibaneが検査した最も高度なバージョンには、画面の下に隠されたカスタム回路基板が含まれており、LTEモデム、アンテナ、および識別マークが削除された部品が搭載されていた。同ラボによると、元のバッテリーを保持し、ケーシングを開けた後でも目視検査を通過できる可能性があった。
Tibaneの2つの検体は、CryptoBilisからではなく日本のマーケットプレイスを通じて購入された。同ラボはまた、率直な警告を発した。侵害されたデバイスに表示されたリカバリーフレーズはすべて漏洩したものとして扱うべきであり、資金は信頼できるデバイスで新しく生成したフレーズを持つウォレットに移動すべきだ。
なぜGenuine Checkでは検出できないのか
LedgerのGenuine Checkはセキュアエレメントの真正性を検証する。セキュアエレメントが無傷であれば、スパイ移植のような不正な物理的改変を検出することはできない。このギャップが本件の核心である。デバイスはチェックに合格しても侵害されている可能性がある。
Ledgerは、何台のデバイスが改ざんされたかを明らかにしておらず、移植が報告されたすべての損失を引き起こしたと断定もしていない。同社は影響を受けたユーザーに連絡し、当局と協力していると述べた。
2つの推定、2つの手法、同じ規模
Galaxy Digitalのリサーチ責任者Alex Thornは、ビットコイン、イーサリアム関連ネットワーク、トロン上の477アドレスにわたる約9100万ドルを報告した。Thornは、窃盗疑惑のうち6450万ドルをトロンに帰属させ、これには約6430万USDTが含まれる。ビットコインは1770万ドル（約213BTC）を占めた。イーサリアムおよび関連ネットワークは880万ドルを貢献した。
Bitqueryは、6つのブロックチェーンにわたる315のウォレットから約9320万ドルを計上した。2つの推定は異なるアドレスセットと手法を使用しており、どちらも改ざんされたデバイスの数を数えていない。
Bitqueryは、攻撃者が10月9日の協調的な引き出しの前に複数のウォレットの制御を取得したことを示唆するトランザクションパターンを特定した。25のトロンウォレットが3秒以内に同じトークン承認に署名し、約2900万ドルのUSDTが瞬時に引き出されることを可能にした。大規模な窃盗の約2週間前に小規模なテストトランザクションが行われており、ユーザーが資金の紛失を報告するずっと前から準備が進められていたことを示唆している。
Bitqueryは、Tetherが盗まれたUSDTのうち約1000万ドルを凍結したと推定した。また、資金がTornado CashとZcashを通じて移動した後、発行体のCircleが凍結できる535万ドルのUSDCも特定した。
販売代理店の問題
CryptoQuantのアナリストDarkfostは、他の地域の販売代理店にもサプライチェーン上のリスクがある可能性を検討するよう提案したが、その懸念は推測的であり、確認された証拠に裏付けられていないと認めた。CryptoBilisは販売をいつ再開するかを明らかにしていない。
現時点では、具体的な事実は限られている。確認された移植は1件、販売停止中の代理店、そして規模では一致するがアドレスでは一致しない2つの独立した推定である。Ledgerは改ざんされたデバイスがどのように顧客に届いたかを説明しておらず、調査完了のスケジュールも示されていない。
