Trezor Walletの警告、サプライチェーンのリスクを浮き彫りに

Trezorは、販売代理店CryptoBilisを通じて購入されたSafe 5にハードウェアインプラントが仕込まれている疑いがあるとして、顧客に警告しました。同社は10月9日、CryptoBilisを正規販売ネットワークから除外しました。購入者の一人は追加の回路基板を見つけたと報告しましたが、10月30日時点でTrezorは検査のためにその端末を受け取っていませんでした。同社によると、顧客の損失に関する報告はありません。2026年3月以降にCryptoBilisが供給した端末を購入した対象顧客は、交換品またはバウチャーを申請できます。Trezorは、影響を受けた所有者に対し、新しいリカバリーフレーズでウォレットを作成し、資金を移すよう勧めています。古いフレーズが漏えいしていた場合、それを使って復元しても資産は保護されません。また、フィッシングの試みに注意するよう呼びかけ、返品されたほかの4台には改ざんの兆候がなかったと述べました。 この警告により、ハードウェアウォレットのサプライチェーンセキュリティに改めて注目が集まっています。Trezorによると、疑わしいインプラントは別件のLedgerの事例にあったものと似ていますが、両事件や攻撃者を結び付ける公表済みの証拠はありません。Ledgerは、影響を受けた端末にインプラントがあったことを確認しました。これは画面との接続を通じて24語のリカバリーフレーズを取得できる一方、セキュリティチップ、オペレーティングシステム、通常の署名機能には支障を与えないものでした。研究者はLedgerの調査に関連する損失について、重複する推計を公表しました。Arkhamは10月29日、1,486のアドレスにわたる9,535万ドルを追跡し、Bitqueryは10月16日、6つのブロックチェーン上の335個のウォレットで1億200万ドルを集計しました。これらは別々の推計であり、合算してはならず、メーカーが確認した最終額でもありません。Trezorの事例では損失は確認されていません。これらの事件は、セキュリティチップを検証することと、ウォレット全体に追加部品がないか調べることは別だと示しています。