暗号資産のハードウェアウォレット大手Trezorは、再販業者「CryptoBilis」から購入された「Trezor Safe 5」3台に、本来は存在しない追加の回路基板(インプラント)が仕込まれていたと確認したと発表しました。この基板は、ウォレットの画面に表示される「回復フレーズ」を読み取り、携帯電話回線を使って攻撃者側のサーバーへ送る仕組みだとされています。
回復フレーズとは、ウォレットを紛失・故障したときに資産を復元するための12〜24個の英単語で、これを知られると、本人のウォレットがなくても資産をそっくり移されてしまいます。ハードウェアウォレットは「秘密の鍵を機器の外に出さない」ことで安全を保つ道具ですが、今回は購入前の段階で機器そのものに細工されていたため、その前提が崩れた形です。
報じられている範囲では、問題が確認されたのは公式ルートではなく、再販業者から買った機器です。販売経路の途中で改ざんされる攻撃は「サプライチェーン攻撃」と呼ばれ、見た目では気づきにくいのが厄介な点です。
対策としては、ウォレットは必ずメーカーの公式ストアか正規販売店から買うこと、届いた箱や本体に開封跡や不自然な改造がないか確認することが基本です。もし再販業者や中古品で入手した機器を使っている場合は、メーカーの案内を確認し、新しい機器で新たに回復フレーズを作り直して、資産を移し替えることを検討してください。