Ledgerハードウェアウォレットへの不正実装、販売代理店CryptoBilis経由で8600万ドル盗難に関連

Ledgerは、一部のウォレットデバイスにハードウェアの不正実装が見つかり、数百のウォレットから8,600万ドル以上が盗まれたことを確認した。影響を受けた機器は、Ledgerから直接ではなく、第三者販売代理店のCryptoBilisによって販売されていた。同社はこれをサプライチェーン攻撃と表現しており、侵害はデバイスが購入者の手に渡る前に発生したとしている。

Ledgerが実際に述べたこと

この認否は限定的かつ慎重なものだ。Ledgerは、盗難がCryptoBilisによって販売されたデバイスに関与していると述べている。一部の暗号資産ウォレットにハードウェアの不正実装があったことを確認している。被害額は8,600万ドル超、被害者数は数百人としている。同社が記録に残したのはこれがすべてだ。

Terrence O'Brienがこの事件に関連して名前を挙げられている。彼の役割についての詳細は明らかにされていない。

Ledger自身の販売チャネルと販売代理店の区別は、法的にも実務的にも重要だ。デバイスがLedgerの管理下を離れた後に不正実装が導入されたのであれば、同社は製造ラインが侵害されていないと主張するだろう。一方、CryptoBilisは自社の在庫がどのように傍受されたのかを説明していない。

販売代理店の足跡こそが本当の問題

CryptoBilisはすべての購入者から顧客データを収集していた。身分証明書、配送先住所、購入履歴などだ。ウォレットが侵害されたからといって、その情報が消えるわけではない。標的型フィッシング、SIMスワップ攻撃、最悪の場合は物理的な強盗に利用され得る。CryptoBilisからLedgerを購入したなら、あなたのデータは他人の手にあると想定すべきだ。

不正実装は第一段階に過ぎないかもしれない。第二段階は、この種の侵害に続く恐喝の波だ。

なぜ今ハードウェアウォレットが標的になるのか

ハードウェアウォレットは信頼を排除するために存在する。あなたが鍵を保持し、デバイスがオフラインで署名し、どの取引所も資金を凍結できない。サプライチェーン攻撃はその約束を直接攻撃する。デバイスはあなたが検証できる唯一のものであるはずだ。販売代理店があなたの手に届く前に改ざんできるなら、モデル全体が打撃を受ける。

取引所やDeFiプロトコルは絶えずハッキングされている。これは違う。すでにコインを取引プラットフォームに残さないことを選んだ人々のための最後の防衛線を標的にしている。

市場が注視していること

タイミングは良くない。センチメントはすでに貪欲に傾いており、自己管理の侵害に関する話は慎重な保有者に様子見へ移る理由を与える。BTCとETHには短期的な圧力がかかる可能性が高く、アルトコインは流動性が薄いためより影響を受けやすい。より大きな問題は、これがCryptoBilisに限定された話なのか、他の販売代理店も同じ在庫を受け取ったのかどうかだ。

Ledgerは影響を受けたユーザーに補償するかどうかを述べていない。CryptoBilisはサプライチェーンがどのように侵害されたかについて何も述べていない。どちらかが述べるまで、第三者販売業者を通じて購入したすべての購入者は、机の上の箱がクリーンかどうかを疑わなければならない。

次に注視すべき具体的な点は、Ledgerが警告をCryptoBilisのデバイス以外に広げるのか、それとも侵害が一販売代理店の在庫に限定されていたことを確認するのかだ。この区別が、これが8,600万ドルの話なのか、それともはるかに大きな話なのかを決める。