Signal
📡 Signal｜ハードウェアウォレットの Foundation、公式ドメインからフィッシングメール
Passport の開発元 Foundation の公式ドメインから、資金が危ないとうたうフィッシングメールが出回った。原因は Cloudflare の API キーの侵害だという。
ハードウェアウォレット Passport を作る Foundation は10月26日、同社の公式ドメインから送られたように見えるスパムメールが出回ったと公式 X で公表した。原因は Cloudflare 上の 1 つ以上の API キーの侵害で、同社はすでにすべての API キーを失効させ、メールに書かれた悪意あるドメインも停止させたと説明している。Passport に保管された資金は安全で、Passport の端末も侵害されていないという。
破られたのは端末でも秘密鍵でもなく、メーカーの名前で届く連絡の経路だった。ハードウェアウォレットの利用者に「送信元を確かめる」と教えてきた見分け方が、公式ドメインそのものから来たように見えるメールには効きにくい。持ち主が自分でリカバリーフレーズを打ち込まない限り資金は動かないが、攻撃者はまさにそこを狙っている。
Foundation が説明したこと
公式 X の告知 (日本時間26日昼) と公式サイトの警告で、同社が示した内容は次のとおり。
- 公式ドメインから送られたように見えるスパムメールが送信された
- 原因は Cloudflare 上の 1 つ以上の API キーの侵害までさかのぼれた。API キーはすべて失効させた
- スパムメールに書かれた悪意あるドメインは停止させた
- Passport に保管された資金は安全で、Passport の端末は侵害されていない
- 何が起きたかを調べ、報告書をできるだけ早く出す
公式サイトの上部には、「Your Passport funds are at risk」(Passport の資金が危険にさらされている) とうたうメールはフィッシング詐欺で、リンクを開かず、リカバリーフレーズを誰にも教えないよう求める警告が出ている。
文面が狙うのはリカバリーフレーズ
ハードウェアウォレットは、秘密鍵を端末の中に閉じ込め、送金のたびに端末の上で承認させる道具だ。設計上、鍵は端末の外に出ない。資金を抜く主な道は、端末を手に入れるか、鍵を復元できるリカバリーフレーズを持ち主に入力させるかになる。
「資金が危険にさらされている」という文面は、持ち主を急がせ、偽のページでフレーズを打ち込ませる典型的な形だ。資金は安全だという説明も、この仕組みを前提にしている。メールにだまされてフレーズを入力した利用者には、その安全は及ばない。
Cloudflare の鍵が開けた入口
Cloudflare は、ドメインの DNS やメールの転送などをまとめて管理するサービスだ。API キーは、管理画面を通さずにその設定を変えるための鍵にあたる。Foundation は、侵害されたキーが何の権限を持っていたか、どの設定が書き換えられたか、メールが何通送られたかを、まだ示していない。
ウォレットの事業者は、端末とファームウェアの安全性を競ってきた。今回の入口は、その外側にある、ドメインやメールを動かすクラウドの管理鍵だった。同じ週には、ソフトウェアのウォレット Electrum でも、つないだサーバーが偽の取引を見せて利用者に署名させる攻撃が公表されている。利用者が信じて見ている情報の経路が狙われる例が続いた。
次に見るもの
確認先は、Foundation が約束した報告書だ。同社の公式 X (@FoundationHQ) と公式サイトで公表されたら、侵害されたキーの権限、書き換えられた設定、送られたメールの数、フレーズを入力してしまった利用者がいたかどうかを見る。それまでの間、メールを受け取った利用者が確かめるべき一点は、リンクを開いていないか、フレーズをどこにも入力していないかだ。
ことば
- Passport — Foundation が開発するハードウェアウォレット。秘密鍵を端末の中に保ち、送金の承認を端末の上で行う。
- リカバリーフレーズ — ウォレットの秘密鍵を復元できる 12〜24 個の英単語の並び。これを知る人は、端末がなくても資金を動かせる。
- API キー — サービスの設定やデータを、プログラムから操作するための認証の鍵。管理画面のパスワードと同じく、漏れると第三者が設定を変えられる。
🔗 一次ソース
