Ledgerは、東南アジアの販売代理店であるCryptoBilisが販売した少なくとも1台のデバイスに、不正なハードウェアインプラントが仕込まれていたことを確認した。月曜日の同社の声明によると、この問題のある個体は同販売代理店における暗号資産の損失に関連している。Ledgerは、インプラントが確認されたケースは限定的であり、同社の内部システムは影響を受けていないと述べている。
CryptoBilisが実際に販売したもの
CryptoBilisは東南アジアで販売代理店として事業を展開し、Ledgerのハードウェアウォレットを地域の顧客に届けている。今回の中心となっているのは1台のデバイスであり、生産ロットでも工場のラインから出たバッチでもない。Ledgerの表現は意図的だ。「少なくとも1台のデバイス」「確認されたケースは限定的」という言葉は、1台だけだと言っているわけではない。同社がこれまでに1台を確認しており、それ以上を排除していないという意味だ。
このデバイスに関連する損失は暗号資産の損失であり、誰かのコインが失われたことを意味する。Ledgerは具体的な金額を公表しておらず、現時点では影響を受けた顧客が少額を失ったのか多額を失ったのかも明らかではない。明確なのは、インプラントがLedger自身の製造工程から来たものではなく、工場から購入者の手に渡るまでのどこかで持ち込まれたということだ。
販売代理店が弱い環となる理由
ハードウェアウォレットの安全性は、それを届けるサプライチェーンの信頼性に依存する。Ledgerはデバイスを密封して出荷し、販売代理店はその密封された箱を受け取って顧客に渡す。在庫にアクセスできる誰かが箱を開け、改ざんされた基板と交換し、包装を再密封した場合、エンドユーザーは資金が動くまでそれを見抜く明らかな方法がない。
少なくとも概要としては、これが今回のシナリオだ。第三者販売代理店が販売したデバイスに不正なインプラントが存在することは、Ledgerの領域外での改ざんを示唆している。同社は、内部システム、つまりサーバー、ファームウェアのパイプライン、Ledger Liveとデバイス認証を支えるインフラが影響を受けていないことを強調している。したがって、これはLedgerへのハッキングではない。顧客に届く前に他人の手を経た個体の物理的な侵害である。
損失、そしてLedgerが語らないこと
このデバイスに関連する暗号資産の損失は確認されているが、詳細は乏しい。金額は開示されていない。損失がいつ発生したかの時系列も不明だ。影響を受けたユーザーが補償されたかどうかについてもまだ言及がない。Ledgerの公式な説明は「確認されたケースは限定的」というもので、この表現は二つの役割を同時に果たす。広範なユーザーベースを安心させると同時に、調査が進むにつれてさらに多くのケースが浮上する余地を残している。
CryptoBilisを通じてLedgerを購入した人にとっての現実的な問題は、自分の個体が改ざんされていたかどうかだ。Ledgerはバッチリコール、シリアル番号のリスト、交換プログラムを発表していない。それがなければ、販売代理店チャネルで購入した人々は自分のデバイスを自分で確認し、待つしかない。
今後の展開
次の具体的なステップは、Ledgerがインプラントがどのように検出されたか、そして同じ販売代理店を通じて販売された他のデバイスにとって何を意味するかについて、より多くを語ることだ。確認されたケースは現在限定的である。その数が増えるかどうかは、調査で何が判明するか、そしてCryptoBilisが販売したすべての個体を説明できるかどうかにかかっている。
現時点での直接的なアドバイスは、ハードウェアウォレットメーカーが何年も繰り返してきたものと同じだ。メーカーまたは信頼できる正規の販売元から購入し、資金を送る前にデバイスを検証すること。この指針は今回のインシデントを防げなかった。しかし、手元の箱が他人の棚から来たものである場合、ユーザーが持つ唯一の保護手段である。
