MediaMarktSaturnは、製品の改ざん報告が表面化したことを受け、Ledgerのハードウェアウォレットを販売中止にしたと確認した。Ledgerは現在これらの報告を調査中であり、問題は東南アジアの販売代理店であるCryptoBilisにとどまらないと述べている。
この動きにより、MediaMarktSaturnは欧州最大級の家電量販チェーンの一つとして、サプライチェーンへの懸念からLedgerデバイスの販売を停止した初の主要な西側小売業者となった。プライベートキーが安全なチップから決して出ないことを全面的に売り文句とする企業にとって、小売パートナーが後退することは深刻な問題である。
MediaMarktSaturnが実際に行ったこと
同小売業者はLedger製品を販売から撤去した。この撤去が一時的なものか恒久的なものかは明言していない。既存顧客が返金や交換を受けられるかについての声明はまだなく、どの特定のLedgerモデルが影響を受けたかについても言及がない。
MediaMarktSaturnはドイツおよびその他の欧州市場で店舗を展開している。家電製品の大量販売チャネルであり、ハードウェアウォレットはラップトップやスマートフォンアクセサリーのすぐ隣の棚に並んでいる。これがLedgerにとっての小売流通の意義である。すなわち、すでに暗号資産ネイティブではない人々にセルフカストディを提示できるのだ。その棚スペースを失うことは痛手である。
Ledgerの調査は一販売代理店を超えて広がる
Ledgerは、CryptoBilisを超えて自社製品の改ざん報告を調査している。CryptoBilisは、改ざんされたLedgerデバイスと関連付けられている東南アジアの販売代理店である。同社は、関与する台数、影響を受ける市場、改ざんの手口について明らかにしていない。
最後の点は重要である。ハードウェアウォレットの改ざんとは通常、購入者に届く前に誰かがデバイスを intercept し、侵害されたファームウェアに差し替えたか、攻撃者がすでに知っているシードフレーズを事前に読み込んだことを意味する。Ledgerは今回の事例での手口を説明していない。また、MediaMarktSaturnを通じて販売されたデバイスが調査対象に含まれているかどうかも述べていない。
調査がいつ終了するかのタイムラインはない。影響を受けたシリアル番号の公開リストもない。問題が第三者流通チャネルに限定されるのか、サプライチェーンのさらに上流に及ぶのかについての確認もない。
小売撤去がブログ投稿より重大な理由
Ledgerは長年、セルフカストディは一般の人々にとって複雑すぎ、リスクが高すぎるという認識と戦ってきた。小売流通はその半分を解決するはずだった。MediaMarktSaturnのようなチェーンが製品を撤去すると、リスクはもはや理論上のものではないというシグナルになる。少なくとも、ハードウェアウォレットと取引所にコインを預けっぱなしにするかのどちらかを選ぶ購入者にとっては。
MediaMarktSaturnは改ざん報告以外の理由を説明していない。小売業者が法的または責任上の圧力なしに製品を撤去することは稀である。それが顧客からの苦情、規制当局、あるいはMediaMarktSaturn自身のリスクチームによるものかは明らかでない。
まだ未解決のこと
Ledgerは影響を受けたデバイスのリストを公開しておらず、購入者が自分のユニットが安全かどうかを確認する方法も述べていない。CryptoBilisはより広範な調査に対して公に回应していない。MediaMarktSaturnは調査完了後にLedgerデバイスの入荷を再開するかどうかを明言していない。
次に注視すべき具体的なことは、Ledgerの調査結果、特にその範囲である。改ざんが東南アジアの単一販売代理店を超えて広がっている場合、同社はそれが他の市場にどのように到達したか、そして阻止するために何をしているかを説明する必要がある。それが明らかになるまで、倉庫や店頭にあるすべてのLedgerデバイスは宙ぶらりんの状態にある。
