暗号資産のハードウェアウォレット(秘密鍵をインターネットから切り離した専用機器に保管する「金庫」のような装置)を手がけるLedgerは、再販業者「CryptoBilis」を通じて販売された製品から、メーカーが関与していない無許可のハードウェア部品(インプラント)が見つかったと明らかにしました。同社は、資金を失ったという報告を受けて調査を進めており、CryptoBilis経由での製品販売を一時的に停止しています。
報告によると、被害の声は主に東南アジアで製品を購入したユーザーから寄せられています。ハードウェアウォレットは「機器そのものが改ざんされていない」ことが安全性の大前提です。もし出荷前後の流通段階で細工が加えられていれば、利用者がどれだけ慎重に使っていても、秘密鍵や回復フレーズ(ウォレットを復元するための合言葉)が盗まれる恐れがあります。
このように、製品が利用者の手に届くまでの流通経路に細工を仕込む手口は「サプライチェーン攻撃」と呼ばれます。ソフトウェアのセキュリティホールを突く攻撃とは異なり、パッチ(修正プログラム)を当てても防げない点が厄介です。
利用者が取れる対策としては、まず公式サイトや正規代理店から購入することが基本です。中古品や、出所の不明な販売店・フリマ経由の購入は避けてください。すでに該当の販売店から購入した方は、Ledgerの公式発表を確認し、案内に従ってください。また、箱の封印や外観に不自然な点がある場合は使用を中止し、回復フレーズは決して他人に伝えたり、入力を求めるサイトに入力したりしないことが大切です。