Ledgerのインプラントがハードウェアウォレットのサプライチェーンへの懸念を高める

LedgerのセキュリティチームDonjonは、東南アジアの販売代理店CryptoBilisが販売したハードウェアウォレットから、悪意のあるインプラントを発見しました。このインプラントは、セットアップ中にデバイスの24語のリカバリーフレーズを取得し、あらかじめ設定されたeSIMを使ってLTE経由で送信できるため、ウォレット内の資金が危険にさらされます。Ledgerは影響を受けたデバイスを1台確認したと発表し、これまでに確認された損失はCryptoBilisが販売したウォレットに関係していると説明しました。CryptoBilisは調査が続く間、Ledger製品の販売を停止しています。オンチェーン調査員のSpecterは、Bitcoin、Ethereum、Tronにまたがる8,600万ドル超の盗難疑惑を関連付けましたが、Ledgerによると、オンラインで出回っている損失額の推定はまだ検証されていません。Ledgerは購入者に対し、疑わしいデバイスをセットアップしないよう勧告し、使用したことがある人には、新しいリカバリーフレーズを設定した新しいデバイスへ資金を移すよう呼びかけています。このハードウェアウォレットの事件は、サプライチェーンをめぐるより広い懸念も引き起こしました。セキュリティ研究者のJoe Grandは、高度な物理的改ざんは発見が難しい場合があると警告しました。Trezorは、真正性の確認や署名付きファームウェアは有効だが、改変の可能性を完全には排除できないとし、販売代理店網を縮小する計画を示しました。専門家は、複数のプロバイダーに信頼を分散させ、改ざん耐性のある設計を改善するよう勧める一方、あらゆるリスクをなくせる対策はないと強調しました。Ledgerによると、インプラントは同社のSecure Element、オペレーティングシステム、取引署名を改変していません。この事件はハードウェアウォレットとリカバリーフレーズのセキュリティリスクを浮き彫りにしていますが、Bitcoinネットワーク全体により広い問題があることを示すものではありません。