Ledgerのサプライチェーン攻撃、ハードウェアウォレットのセキュリティにある盲点を露呈
Ledgerは、サプライチェーン攻撃によって窃盗犯が暗号資産ウォレットから約9300万ドルを盗んだとされる事案を受け、販売管理を見直している。このLedgerのサプライチェーン攻撃では、東南アジアの再販業者CryptoBilisを通じて販売されたデバイスに、不正なハードウェアインプラントが隠されていた。
このインプラントは、セットアップ時に各ウォレットの24語のリカバリーフレーズを取得し、LTEモバイル回線を通じて送信したとされる。このフレーズはウォレットのマスターシークレットに当たるため、入手した人物は誰でも別の場所でそのウォレットを復元できる。
この事案は、ハードウェアウォレットの中核的な約束に疑問を投げかける。Ledgerの保護チップとソフトウェアは無傷だったとされる一方、追加された部品が、それらの保護機能が働く前に機密情報を取得していた。Ledgerは現在、デバイスそのものだけでなく、顧客に届くまでのあらゆる商流を保護するよう求められている。
Ledger、インプラントの存在は確認するも9300万ドルという総額は未確認
確認されたセキュリティ上の発見は、最も大きな見出しが示す範囲より限定的だが、Ledgerの流通モデルの見直しを迫るには十分に重大である。
2026年10月9日、複数のウォレットから同時に資金が流出したとの報告が浮上した。事後の報道によると、被害ユーザーはBitcoin、Ethereum、Tronを含むネットワークに資金を保管していた。
Ledgerは、少なくとも1台の被害を受けたsigner内部で不正なハードウェアインプラントを発見したと述べた。signerとは、暗号学的な秘密情報を保持し、それをインターネット接続されたコンピューターに公開することなく取引を承認する物理デバイスである。
同社の調査では、10月9日の事案で確認されたすべての窃盗被害が、CryptoBilisを通じて販売されたデバイスに結び付いた。再販業者はマレーシア、インドネシア、フィリピンで事業を展開し、Ledgerの正規再販業者ネットワークに含まれていた。
Ledgerは、盗まれた総額や最終的な被害者数を確認していない。外部のブロックチェーン調査員は、300超のウォレットで損失が約9320万ドルに達したと推定している。これは盗難額の推定によるものだ。
調査担当者が追加のアドレスをこの事案に帰属させるにつれ、別の推定では1億ドルを超えた。こうした数値はアドレスのクラスタリングや資産評価に依存するため、Ledgerによる最終集計として扱うべきではない。
この区別は重要だ。ブロックチェーン取引は公開されているが、どのアドレスが単一の攻撃に属するかを特定するには解釈が必要となる。調査者は資金移動を追跡できる一方で、事案の範囲について見解が分かれることもある。
Ledgerは、社内システム、ファームウェア、直販チャネルは侵害されていないと述べている。同社はまた、影響を受けたデバイスの数は限定的だと考えているものの、検証済みの台数は公表していない。
CryptoBilisは調査継続中、ハードウェアウォレットの販売と出荷を停止した。実店舗も一時的に閉鎖し、独立した専門家と協力していると述べた。
Ledgerは、未使用のCryptoBilis販売デバイスを所有する顧客に対し、初期設定を行わないよう指示した。すでにセットアップを完了していた顧客には、新たに生成したリカバリーフレーズで保護された新しいsignerへ資産を移すよう案内した。
この指示は、情報漏えいの性質を反映している。同じフレーズを再利用して資金を移しても、攻撃者が同一のアカウントを復元できるため、問題は解決しない。
Ledgerは被害顧客に対し、公式サポートおよび地元の法執行機関へ連絡するよう求めた。物理的な証拠がインプラントの出所特定に役立つ可能性があるため、指示を受ける前に疑わしいデバイスを開封または発送しないよう助言している。
この事案は現在も調査中である。Ledgerは、誰がデバイスを改造したのか、どこで改造されたのか、侵害されたユニットがどれほど長く流通していたのかを公表していない。
これらの未解決の疑問が、危機の範囲を決める。単一の再販業者における欠陥なら、必要な対応は限られる。流通管理により広い破綻があるなら、倉庫、流通業者、小売業者、返品、配送パートナーにまたがる変更が必要になる。
9300万ドルという推定額は注目を集めるが、戦略上の論点は来歴だ。Ledgerは今後、顧客がファームウェアだけでなく、デバイスがたどった経路も検証できることを示さなければならない。
CryptoBilisのウォレット攻撃は信頼チップをどう迂回したのか
このインプラントは、Ledgerの保護チップやオペレーティングシステムを直接攻撃するのではなく、表示経路を監視して秘密情報を盗んだとされる。
通常のウォレット設定時、Ledgerデバイスは24語のリカバリーフレーズを生成して表示する。この単語群により、元のデバイスを紛失、破損、交換した場合でも、所有者はアクセスを復元できる。
一方で、このフレーズは攻撃者に関連アカウントの完全な支配権を与える。フレーズを知る人物は、セットアップ後には元のデバイスやPIN、物理的なアクセスを必要としない。
Donjonとして知られるLedgerのセキュリティチームは、このインプラントがマイクロコントローラーを使い、デバイス上に表示されたリカバリーワードを読み取り、復号したと述べた。その後、組み込みSIMを使ってLTE経由でデータを送信した。
LTEはモバイルデバイスで広く使われる携帯電話データ通信規格である。組み込みSIM、すなわちeSIMにより、接続された部品は取り外し可能なプラスチックSIMカードなしで通信事業者のネットワークを利用できる。
Ledgerが報告した調査結果によると、このインプラントは取引や署名を改変していない。リカバリーフレーズを取得した後は、ウォレットを操作する必要がなかった。
この手法は、被害デバイスが正常に見えた理由を説明する。本物のLedger電子機器は、設計どおりに鍵を生成し、情報を表示し、取引に署名できた可能性がある。
悪意のある部品は、この信頼されたシステムの脇で動作していたとされる。画面へ向かう情報を観察し、そのコピーを別の通信経路で送信していた。
Genuine Checkと呼ばれるLedgerのソフトウェア真正性確認プロセスは、接続されたデバイスに正規のLedgerファームウェアと暗号学的認証情報が含まれているかを検証する。これは、不正なソフトウェアを実行するクローンを拒否するよう設計されている。
Ledgerの開発者向け文書では、デバイスのアテステーションは、工場で作成された鍵と証明書を使用して真正性を確立すると説明されている。このプロセスは、認識されたLedgerシステムの完全性を保護する。
しかし、アテステーションは、筐体内の別の場所に追加されたすべての部品を自動的に棚卸しするものではない。そのため、本物のデバイスがソフトウェアチェックを通過しつつ、独立した監視用ハードウェアを搭載している可能性がある。
これがLedgerのサプライチェーン攻撃における中心的な逆転である。攻撃者は、信頼された部品を保持することで改造品の説得力が増すため、それを温存したとされる。
この事案は、コールドストレージに関する一般的な単純化にも疑問を投げかける。ハードウェアウォレットは秘密鍵を汎用コンピューターから隔離するが、それ自体が商業的なサプライチェーンを通じて購入される物理的なコンピューターでもある。
そのセキュリティは暗号技術だけに依存しない。製造記録、保管管理、小売慣行、製品返品、梱包、検査、配送はすべて信頼境界の一部となる。
インプラントが初期設定に焦点を絞っていたとみられる点は、この攻撃を特に効率的にした。ユーザーが多額の資産を保管する前に、フレーズを観察するわずかな機会があればよかった。
その後、攻撃者は待機できる。盗難を遅らせれば、被害者が損失を数週間または数カ月前に購入したデバイスと結び付けることは難しくなる。
遅延は、最初の公的な警告が出る前に悪意ある在庫を広めることにも役立つ可能性がある。調査者は、盗難がそのように遅延または連携されていたかどうかを公には確定していない。
報告された設計は、信頼されたディスプレイシステムにおけるより広範な弱点を浮き彫りにする。ディスプレイはノートPC上のマルウェアからユーザーを守れるが、それは表示経路自体が信頼できる場合に限られる。
Ledgerは、2023年12月の別の事案後、このモデルを強調していた。その攻撃はハードウェアデバイスではなく、分散型アプリケーションが使用するソフトウェアライブラリであるLedger Connect Kitを侵害した。
この攻撃後、Ledgerはユーザーがウォレットの信頼された画面で取引詳細を確認すべきだと主張した。同社のConnect Kitに関する発表では、悪意あるコードは数時間にわたって有効だった一方、実際に資金流出が可能だった時間帯は2時間未満だったとされている。
CryptoBilisのウォレット攻撃は、これとは逆の問題を示している。画面は単なる最後の信頼できる確認地点ではなかった。隠されたインプラントが観察する情報源になったとされる。
これは信頼されたディスプレイが無用だという意味ではない。その保護が、正しいファームウェアだけでなく物理的な完全性にも依存することを示している。
また、通常のリセットでは疑わしいデバイスを修復できない理由も説明する。インプラントが筐体内に残っていれば、そのデバイスに表示される新たに生成されたすべてのフレーズが、同じ漏えいリスクにさらされる可能性がある。
追加の単語と説明されることもある別個のパスフレーズも、この脅威のあらゆる形態を自動的に無力化するわけではない。その有効性は、ユーザーがどのように、どこで入力するかに左右される。
したがって、ユーザーは疑わしいsignerを使って即興の対策を取るのではなく、Ledgerの事案固有のガイダンスに従うべきである。デバイスを開くと破損や証拠の消失を招き、表面的な検査の後に誤った安心感を生むおそれがある。
Ledgerの改ざん防止策、流通網で試される
Ledgerは、コアのセキュリティアーキテクチャは機能していたとされる一方で、侵害された製品が信頼された販売関係を通じてユーザーに届いたという二つの事実を両立させなければならない。
Ledgerはこの事案を、ソフトウェアや社内インフラへの侵害ではなく、物理的なサプライチェーン改ざんと位置付けている。この説明は、これまでに明らかになったインプラントの仕組みと整合的に見える。
ただし顧客の観点からは、それだけでは不十分だ。利用者は正規再販業者からセキュリティ製品を購入し、最も重要な秘密情報を漏えいさせる能力を持つデバイスを受け取ったとされる。
正規販売の認定には意味がある。顧客は、メーカーがその経路を未知のマーケットプレイスの出品より安全だと示しているため、承認された販売者を選ぶことが多い。
この期待により、再販業者との関係も製品の一部となる。メーカーは、誰が在庫し、返品を受け、輸送し、再販できるかを管理する仕組みから、デバイスのセキュリティ上の評判を切り離すことはできない。
Ledger CEOのPascal Gauthier氏は、物理的なサプライチェーン改ざんは業界全体のリスクだと述べた。また、Ledgerは直販と再販業者に適用する管理策を見直しているとした。
CTOのCharles Guillemet氏は、同社が再販業者の管理策と改ざん防止策を見直していると述べた。Ledgerは、改ざん検知と管理連鎖の実践について、研究者や他のウォレットベンダーに協力を呼びかけた。
管理連鎖とは、誰がいつ品目を取り扱ったかを記録した履歴である。強固な保管記録は、本物のデバイスが改造品へと変わった段階を調査者が特定する助けとなる。
Ledgerは流通業者に対し、製品を正規チャネルからのみ調達し、返品されたデバイスを再入荷しないよう改めて注意を促した。攻撃者が本物のユニットを購入、改造、再封印し、そのまま返品できるため、返品には固有のリスクがある。
ここで必要な管理策は、より良い梱包にとどまらない。シュリンク包装、ホログラム、目視可能な封印は、複製、交換、または正当な取り扱いの過程で乱されたように見せることが可能だ。
有効な防御には、複数の層が必要だ。シリアル化された梱包は、デバイスを出荷記録に紐付けられる。重量や画像による検査は、追加されたハードウェアを検出できる。無作為の破壊検査は、通常の目視検査では見逃される改変を明らかにできる。
小売面の管理も同様に重要である。販売者には、返品品の隔離、店舗間移送の追跡、未承認の卸売業者からの在庫が正規チャネルに流入することを防ぐためのルールが必要だ。
Ledgerには、ソフトウェア認証が検証できることと、できないことを伝える手段も必要だ。Genuine Checkは、保護されたLedgerコンポーネントが本物であることを確認できるが、余分なコンポーネントが存在しないことまでは保証しない。
今回の事件以前、顧客にとってこの制約を見落とすのは容易だった。より明確な表現は、物理的な改ざんが疑われる場合に、チェックの合格が必要条件ではあっても十分条件ではない理由を購入者が理解する助けになるだろう。
Ledgerの直接販売チャネルも、影響を受けていないと同社が述べているにもかかわらず、調査対象となっている。Gauthier氏の声明には、直販と再販業者の双方に及ぶ管理策の見直しが含まれていた。
この広範な見直しは適切である。攻撃者はチャネルがどのように分類されているかを気にしない。十分なアクセス、時間、在庫、転売機会を得られる最も脆弱な場所を探す。
圧力はLedgerだけに限られない。CryptoBilisはTrezorやOneKeyを含む、他のハードウェアウォレットメーカーの製品も販売していた。
Trezorは、その再販業者から影響を受けたTrezorデバイスに関する報告は受けていないと述べた。それでも同社は、事件後にCryptoBilisを正規ネットワークから除外した。
OneKeyも、顧客の損失に関連する報告はないと述べた。業界の対応によると、同社は再販業者の認可を終了し、新規再販業者の受け入れを停止するとともに、流通ネットワークの見直しを開始した。
これらの対応は、Ledgerの問題が業界全体の試金石となった理由を示している。競合メーカーは、侵害された一製品から距離を置くことはできるが、多くの流通リスクを共有している。
ハードウェアウォレットベンダーは一般に、直販オンライン販売、地域ディストリビューター、家電量販店、暗号資産専門小売店、大規模マーケットプレイスを何らかの形で組み合わせて利用している。引き渡しが一段階増えるごとに、新たな管理ポイントが生まれる。
直販のみのモデルは、一部のリスクを抑える一方で別のコストを生む。地域での入手性を制限し、配送を複雑化させ、価値の高い顧客データを一社のシステムに集中させる可能性がある。
Ledgerはこのトレードオフを経験している。2020年の侵害では、同社の商取引・マーケティングシステムから顧客情報が流出したが、同社は秘密鍵とウォレット資金には影響がなかったとしている。
攻撃者が顧客データを保有している場合、物理攻撃はより危険になり得る。ウォレットの所有者を知る犯罪者は、配送物、住宅、個人をより選別して標的にできる。
したがって今回の見直しは、箱の封が保たれていたかどうかだけに焦点を当てることはできない。Ledgerは、情報の流れ、在庫の流れ、自社ブランドを代表することを許可されたすべての組織のインセンティブを検証しなければならない。
Ledgerの改ざん防止策は、Secure Elementを回避する攻撃も考慮する必要がある。あるチップを抽出から保護しても、そのチップが情報を処理する前後で情報を観測する敵対者を止めることはできない。
同社は最終的な技術変更を発表していない。それまでは、将来の保護強化に関する主張は、独立した試験結果ではなく約束にとどまる。
最大の主張には依然として独立した検証が必要
攻撃メカニズムの信頼性は高く、一部は確認されているが、デバイス数、総損失額、地理的な広がりはなお確定していない。
Ledgerは、影響を受けたsignerに不正なインプラントが存在したことを確認している。また、リカバリーフレーズがデバイス外へ流出した経路を説明できる技術的メカニズムも示している。
しかし、それはこの件に結び付けられたすべてのソーシャルメディア画像、ウォレットアドレス、損失主張を独立して裏付けるものではない。急速に進む調査では、本物の証拠に誤った帰属や便乗したうわさが混在し得る。
Ledgerは、影響を受けたデバイスモデルを公表していない。インプラントの回路図、鑑識報告書、通信事業者の記録、確認済みの悪意あるアドレスの完全な一覧も開示していない。
同社は、物理的なデバイスを何台調査したかも明らかにしていない。1件のインプラントを確認すれば攻撃の実行可能性は示されるが、汚染された在庫の総数までは示されない。
東南アジア以外からの報告は、さらに不確実性を加えている。ソーシャルメディアの利用者は、欧州の小売業者などから購入した改変済みLedgerデバイスを発見したと主張した。
Ledgerは、他のsignerや地域に関する報告を調査していると述べた。当初の調査アップデートが公表された時点では、CryptoBilisチャネル以外で購入されたデバイスに関する窃盗は確認していなかった。
ドイツの家電小売業者MediaMarkt Saturnは、顧客からインプラントの報告を受けた後、Ledgerデバイスの販売を停止したと報じられている。元Mt. Gox CEOのMark Karpelès氏も別途、シンガポールの空港で購入したデバイスから1つを見つけたと主張した。
これらの報告は、より広範な流通上の問題を示す可能性がある。一方で、無関係の改ざん、誤認されたコンポーネント、あるいは利用者の資金を一度も露出させなかったデバイスが関係している可能性もある。
この区別には、物理的な検査と管理記録が必要となる。写真だけで、コンポーネントがいつ設置されたのか、誰が設置したのか、データを送信したのかを確定できることはほとんどない。
損失の帰属にも同様の注意が必要だ。調査者はアドレス間で資金が移動する様子を確認できるが、同期した資金流出が、すべてのアドレスが同じハードウェア経路で侵害されたことを証明するわけではない。
攻撃者は資金を集約し、中継ウォレットを使い、別の作戦で得た収益を混在させることもある。こうした行動により、調査者が構成要素を確認する前に推計額が膨らむ可能性がある。
Ledgerは総損失額を確認していないと述べ、推測を控えるよう警告した。独立報道も、大きな総額を示したのはLedgerではなく外部の研究者だったと指摘している。
ある報告は8600万ドル超とした。別の推計は1億300万ドルに達した。広く繰り返されている9300万ドルという数字は、その範囲内にあるのであって、確定した鑑識結果としてそれを上回るわけではない。
Tetherは、窃盗が疑われるアドレスに関連する1000万USDTを凍結したと報じられている。この措置は相当規模の事件が存在することを裏付けるが、オンラインで流通するすべての推計を正当化するものではない。
最終的な数字がないからといって、攻撃を軽視すべきではない。インプラントが1件でも成功していれば、悪意あるハードウェアが通常の真正性チェックの前提を回避できることを示す。
しかし、セキュリティ報道では正確な表現が重要だ。Ledgerが9300万ドルの損失を確認したと述べれば、同社が実際に確認した内容を誇張することになる。
調査では、CryptoBilisが侵害されたのか、欺かれたのか、内部に侵入されたのか、あるいは直接関与したのかも判明させる必要がある。公開されている証拠は、確認済み事例とのつながりを超えて再販業者の役割を立証していない。
Ledgerは、誰がどこでsignerを改ざんしたのかを特定するため、調査を続けていると述べた。CryptoBilisは協力しているとし、ウォレット事業全体で販売を停止した。
正規再販業者は、上流のディストリビューターから改変された在庫を受け取る可能性がある。また、返品、内部アクセス、不十分な保管、チャネル外からの調達を通じてリスクを持ち込む可能性もある。
追跡可能な在庫履歴がなければ、これらの可能性は残る。Ledgerの最終報告書は、攻撃者による再現を助ける詳細を明かすことなく、関連する経路を特定すべきだ。
被害者救済も、もう一つの未解決事項である。利用者が攻撃者より先に行動すれば、資産の移動によって追加の盗難を防げる場合があるが、ブロックチェーン上の送金は通常、すでに奪われた資金を取り戻せない。
Ledgerは、影響を受けた利用者にサポート窓口と法執行機関へ連絡するよう助言した。本記事で確認した公開資料では、包括的な補償方針を発表していない。
この点は信頼に影響する。顧客は根本原因分析だけでなく、正規の購入経路を利用した人々を同社がどう支援するかによってLedgerを判断するだろう。
証拠の扱いも重要になる。透明性の高い技術報告書があれば、研究者は提案された防御策が実際のインプラント設計に対応しているかを検証できる。
曖昧な要約では、購入者は、流通管理が調査対象となっている同じ組織の保証に依存することになる。それは新たな改ざん防止の約束の信頼性を弱めるだろう。
現時点で最も強力な説明は、Ledgerの調査アップデートを引用する複数の報道から得られる。最も慎重な独立した要約によれば、隠されたインプラントはセットアップ中にフレーズを取得していた一方、総損失額は未確認のままだった。
これは重大なセキュリティ事件が起きたことを示すには十分である。調査を終えるには十分ではない。
Ledgerのサプライチェーン攻撃が次に変えるもの
次の試金石は、Ledgerが異例の窃盗事件を、通常の小売チャネル全体で機能する検証可能な管理策へと転換できるかどうかだ。
最初に注目すべき兆候は、詳細な鑑識報告書である。Ledgerは、インプラントのアーキテクチャ、影響を受けたデバイス群、判明している購入時期、Genuine Checkの限界を説明すべきだ。
同社が検証可能な指標と明確な時系列を公表すれば、診断への信頼は高まる。開示内容が一般論にとどまれば、攻撃の範囲に関する不確実性は残り続ける。
報告書では、確認済みの証拠と未解決の手掛かりも区別すべきである。利用者は、どの小売業者、国、シリアル範囲、購入時期に即時の対応が必要なのかを知る必要がある。
有用な開示では、調査者が資金を流出したウォレットを侵害されたデバイスにどのように結び付けたかも説明されるだろう。被害者のリカバリーデータや個人情報を公開することは避けなければならない。
2つ目の兆候は、具体的な再販業者管理プログラムである。Ledgerはデバイスが顧客へ届く経路を見直すとしているが、価値があるのは強制力のある変更だ。
その変更には、シリアル化された管理記録、より厳格な返品処理、抜き打ち監査、在庫照合、独立した検査が含まれ得る。同社は、どの管理策がディストリビューターに適用され、どれが小売業者に適用されるのかを明示すべきだ。
Ledgerは、再販業者が監査に不合格となった場合に何が起きるのかも明確にすべきである。メーカーがパートナーを迅速に停止できず、疑わしい在庫を追跡できないなら、認可の価値はほとんどない。
競合他社の対応も、もう一つの基準になる。TrezorとOneKeyは、影響を受けた製品の報告がないとしながらも、すでに関係の解消や再販業者体制の見直しに踏み切っている。
他のベンダーが共同の管理基準を公表すれば、業界協力を呼びかけるLedgerの姿勢は実質的なものに見えるだろう。各社が個別の保証だけを示すなら、購入者は一貫性のない保護に直面することになる。
3つ目の兆候は、新たなLedger改ざん防止策の技術的検証である。改訂されたデバイスがSecure Elementの外部に追加されたコンポーネントを検出できるかどうかは、マーケティング上の表現では立証できない。
研究者は設計を検証し、関連するテストを再現し、残る制約を説明できるべきだ。単一の検査手法によって、消費者向けデバイスが物理攻撃に対して完全に免疫を得ることはない。
想定される防御策にもトレードオフが生じる。より多くのセンサーや密封されたコンポーネントは製造の複雑性を高める一方、修理や独立した検査を難しくする可能性がある。
より厳しい小売制限は、地元の販売者に依存する地域で入手性を低下させる可能性がある。顧客追跡の強化は製品の来歴を改善できる一方、プライバシーリスクを生み得る。
Ledgerの課題は、これらのトレードオフを開かれた形で管理することだ。セルフカストディ製品が利用者を引き付けるのは、資産へのアクセスを管理する信頼された仲介者をより少なくしたいと考えるからにほかならない。
しかし今回の事案は、セルフカストディがなお信頼から始まることを示している。購入者は製造、物流、小売の正規性、ファームウェアの検証、包装、そしてデバイスの物理的な構造を信頼している。
だからといって、ハードウェアウォレットがオンラインカストディアンと同等というわけではない。真正で改ざんされていない署名デバイスは、依然としてスマートフォンやノートPCが直面する多くの脅威から鍵操作を隔離できる。
ただし、購入者は絶対的なセキュリティをうたう主張を退けるべきだ。どのウォレット設計も、リスクを排除するのではなく移転するにすぎない。
現在の所有者にとって最も重要な違いは、購入履歴である。Ledgerによると、10月9日に確認された事例はCryptoBilisのデバイスに関するものであり、同社の直販チャネルは影響を受けていない。
CryptoBilisから購入したデバイスの利用者は、公式サポートを通じてLedgerの指示に従うべきだ。未使用の端末を初期化したり、既存のリカバリーフレーズをその端末に復元したりしてはならない。
すでに使用してしまった場合は、信頼できるデバイス上で新しいリカバリーフレーズから作成したアカウントへ資産を移すべきである。調査のため、疑わしい署名デバイスも保管しておく必要がある。
別の販売元から購入した所有者は、すべてのデバイスが侵害されたと決めつけず、Ledgerの更新情報を注視すべきだ。検証されていないソーシャルメディア投稿は、リカバリーフレーズを公開したり、ハードウェアを不明な住所へ送ったりする理由にはならない。
セキュリティインシデントの周辺では、サポートを装う詐欺が発生しやすい。攻撃者はLedgerのスタッフになりすまし、リカバリーワードを要求したり、偽の検査ツールを配布したりする可能性がある。
正規のサポート担当者がリカバリーフレーズを必要とすることはない。利用者は、迷惑メッセージ内のリンクではなく、手動で確認した公式ドメインからLedgerにアクセスすべきだ。
新しいウォレットを検討する購入者は、あるブランドが侵害されたかどうかよりも、さらに具体的な問いを立てるべきである。購入経路、返品ポリシー、真正性の確認プロセス、販売事業者の対応計画を精査する必要がある。
Ledgerのサプライチェーン攻撃は、オフラインでの鍵保管という概念が破綻した証拠ではない。「オフライン」が表すのは接続性であり、製品内部のすべての構成要素の完全性ではないことを示す証拠である。
Ledgerによる今後の開示によって、これが限定的な販売業者の事案にとどまるのか、ハードウェアウォレットの流通におけるより広範な弱点を露呈するのかが判断される。同社は、顧客や研究者が両者を見分けられるだけの十分な証拠を公開しなければならない。
注目すべき点は3つある。対象範囲を明確にしたフォレンジック報告書、執行可能な管理連鎖の統制、そして独立して検証された改ざん検知だ。それらが示されるまでは、損失総額と地理的な影響範囲は暫定的なものとして扱う一方、確認済みの埋め込み型改ざんは対応を要する警告として受け止めるべきである。
