シンガポール警察が、改ざんされたLedger製ハードウェアウォレットによる被害を公表した。少なくとも2件の報告があり、損失額は合計で約350万シンガポールドル（約270万米ドル）に達する。
発表は10月28日付。最初の報告は9月10日までさかのぼり、事件が広く知られるようになった10月9日より約1カ月前から被害が発生していたことになる。警察は公式サイトに注意喚起を掲載した。
問題は、正規販売店を経由して改ざんデバイスが流通していた点だ。暗号資産をオフラインで保管するハードウェアウォレットの安全性に、改めて疑問が突き付けられている。
改ざんされたLedgerウォレットで270万ドル相当の被害
シンガポール警察が公式注意喚起を公表
シンガポール警察は10月28日、改ざんされた暗号資産ハードウェアウォレットに関する注意喚起を公式サイトで公表した。警察の初期調査によると、シンガポール国内の一部小売店で購入されたLedger製ウォレットに悪意のある部品が見つかった。ハードウェアの改造が施されていたという。
警察はこの注意喚起で、被害が少なくとも2件確認されたと明らかにした。損失額は合計で約350万シンガポールドル（約270万米ドル）に上る。警察はLedger社と連絡を取り、同社が影響を受けたケースの調査を進めているとも説明している。
9月10日から報告されていた実態
報告の時期にも重要な意味がある。警察によると、最初の報告は9月10日にはすでに寄せられていた。これは、一連の事件が10月9日に公になるより約1カ月前のことである。改ざんデバイスによる被害は、メディアが大きく取り上げる前に水面下で広がっていた可能性がある。
改ざんデバイスは正規販売店から流通
空港と家電量販店で購入されたケース
一連の事件が公になったのは、インドネシアやマレーシア、フィリピンで正規販売店として知られるCryptoBilisを通じて販売されたデバイスでの損失報告がきっかけだった。その後、元Mt. Gox CEOのマーク・カルプレス氏が、シンガポールの空港で購入したLedger Flexに監視用の小型機器が仕込まれていたとX（旧Twitter）で報告した。
さらに別のLedgerユーザーも、地元のIT小売店チェーンであるChallengerで購入したデバイスが改ざんされていたと投稿した。このユーザーはその後、Ledger社から新しいデバイスを送られたとしている。購入先が空港や大手家電量販店に広がっている点が特徴だ。
東南アジア7地域で販売停止要請
Ledger社は10月13日、インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港の小売業者に対し、調査が続く間はLedgerデバイスの販売を停止するよう要請した。調査対象は東南アジアを中心に広がっており、被害が特定の国や店舗に限らないことを示している。
シンガポール警察は現在も捜査を進めており、Ledger社側も影響を受けたケースの内容を確認している段階だ。公式の被害件数は「少なくとも2件」だが、販売停止の対象地域の広さを考えると、今後報告が増える可能性は否定できない。
ハードウェアウォレットの安全は絶対ではない
サプライチェーン攻撃とは
ハードウェアウォレットは、秘密鍵をインターネットから切り離して保管する機器だ。取引所に資産を預けるより安全とされ、長期保有者を中心に広く使われている。今回の事例は、製造や流通の過程で悪意のある部品が混入される「サプライチェーン攻撃」の危険性を浮き彫りにした。
サプライチェーン攻撃とは、製品が消費者の手に届くまでのどこかの段階で、攻撃者が不正な細工を施す手口を指す。たとえば、出荷前の倉庫でデバイスをすり替えたり、内部基板に小型のチップを追加したりする。購入者は見た目では判別できず、正規品だと思って使い始めてしまう。
今回の手口と見えてきたリスク
警察の初期調査では、小売店で購入されたLedgerウォレットに悪意のあるハードウェア部品が組み込まれていた。カルプレス氏が報告した「スパイインプラント」も、こうした改ざんの一例とみられる。改ざんされたデバイスは、設定時に秘密鍵やリカバリーフレーズを外部に送信するよう細工されていた可能性がある。
リカバリーフレーズとは、ウォレットを復元するための合言葉のようなものだ。これを盗まれると、資産を丸ごと奪われる。ハードウェアウォレットは秘密鍵を内部に閉じ込める設計だが、最初の初期設定の段階で不正プログラムが動けば、その防御は無力化されてしまう。
ユーザーが今すぐ確認すべきこと
購入経路の確認
まず確認したいのは、デバイスをどこで購入したかだ。今回の被害は正規販売店や空港、大手小売チェーンでも発生している。そのため「正規だから安心」とは言えない状況だが、少なくともLedger社が販売停止を要請した地域で購入した人は、公式の案内を確認する必要がある。
Ledger社の公式サイトでは、正規品かどうかを確認する手順や、疑わしいデバイスの報告方法が案内されている。購入時のレシートや箱、シリアル番号を手元に用意しておくと対応が早い。
デバイスの初期化と正規ファームウェア検証
改ざんの有無を完全に判別するのは難しいが、有効な対策はいくつかある。1つは、新品のデバイスを最初に使う際、必ず自分で初期化してリカバリーフレーズを新規生成することだ。最初から設定済みのデバイスや、付属の紙にリカバリーフレーズが書かれている場合は、すぐに使用をやめるべきだ。
もう1つは、Ledger社が提供する正規アプリ「Ledger Live」でファームウェアの真正性を確認することだ。ファームウェアとはデバイスに組み込まれた基本ソフトウェアのことで、これが正規の署名を持っているかを検証できる。疑わしい挙動があれば、資産を移動させる前に公式サポートへ相談したい。
業界全体への影響と今後の注目点
メーカーと正規販売網の信頼回復
今回の事件は、ハードウェアウォレット業界全体にとって大きな打撃となる。特に「正規販売店から買えば安全」という前提が崩れた影響は小さくない。Ledger社は販売停止要請や交換対応を進めているが、信頼を取り戻すには改ざん経路の特定と再発防止策の公表が欠かせない。
サプライチェーン全体の監査を強化する動きも予想される。たとえば、出荷時の封印を強化したり、開封済みかどうかを判別できる仕組みを導入したりするメーカーが増えるだろう。消費者の側も、開封時に外装や内部基板を撮影して記録する習慣が広がる可能性がある。
規制当局と取引所の対応
シンガポール警察が公式に注意喚起を出したことで、他国の規制当局も同様の調査に乗り出す可能性がある。すでに東南アジアでは販売停止が広がっており、日本の金融庁や警察当局も国内での流通状況を注視しているとみられる。
取引所の対応も焦点の1つだ。ハードウェアウォレットは取引所を介さず資産を保管する手段だが、被害者が資産を換金する際には取引所を利用することが多い。不正な送金を検知した際の凍結対応や、被害者への情報提供がどこまで進むか。業界全体での連携が問われている。
この記事のポイント
- シンガポール警察が改ざんLedgerウォレットによる被害を公表、損失は約270万ドル
- 最初の報告は9月10日で、事件公表の約1カ月前から被害が発生
- 正規販売店や空港、大手小売チェーンで改ざんデバイスが確認された
- Ledger社は東南アジア7地域で販売停止を要請
- ハードウェアウォレットの安全神話が揺らぎ、サプライチェーン対策が急務
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。