Signal
📡 Signal｜シンガポール警察、改ざんされた Ledger 端末で 2 件の被害を確認
シンガポール警察が、国内の小売店で買われた Ledger 端末に悪意ある部品があったと注意喚起。9月10日以降 2 件、損失は約 350 万シンガポールドル。販売店名は明かしていない。
シンガポール警察は10月28日、国内の一部の小売店で買われた Ledger のハードウェアウォレットに、悪意ある部品が仕込まれていたと注意を呼びかけた。9月10日以降に少なくとも 2 件の被害が届けられ、損失は合わせて約 350 万シンガポールドルにのぼる。
Ledger 端末への植込みをめぐって、国の捜査機関が自国での被害を公に認めた。端末の改ざんは、メーカーの調査の話から、警察が捜査する事件になった。初期報は29日の 速報 で伝えた。
警察の発表に書かれたこと
警察の初期の捜査では、シンガポールの一部の小売店で買われた Ledger の端末に、悪意あるハードウェアの部品が入っていた。部品は利用者の復元フレーズや秘密鍵を読み取ることができ、持ち主に知られないまま第三者が資産を動かせる状態にしていたという。
発表は、どの店で売られた端末かを明かしていない。警察は Ledger と連絡を取っており、Ledger が該当する件を確認している。捜査は続いている。
Ledger の側は、シンガポールの件について個別の説明をまだ出していない。10月15日のブログでは、攻撃者が本物の端末を買って開け、設定時に復元フレーズを読み取る部品を仕込み、東南アジアの販売店を通じて流通に戻したと説明していた。
10月の Ledger の件との関係
Ledger は10月10日、東南アジアの販売店 CryptoBilis が売った端末に許可のない部品があったと確認した (10月11日の記事)。13日には、その部品が画面に出た復元フレーズを読み取り、組み込みの eSIM で携帯回線から外へ送る仕組みだと公表している (10月14日の記事)。
警察の発表は CryptoBilis の名前を挙げておらず、今回の 2 件が同じ販売網の端末かどうかは分からない。Ledger のブログも、販売を止めるよう求めた範囲を「東南アジアと香港」と書くにとどめている。
Ledger は同じブログで、今回を「仕組み全体のサプライチェーンへの攻撃ではなく、局所的な流通への攻撃」と位置づけた。そのうえで正規の販売店に、Ledger の製品を棚や陳列台に置かず、在庫は奥に保管して購入時に手渡すよう求めている。
警察が勧める 3 つの手当て
警察は、暗号資産を持つ人に次の対応を勧めた。
- 端末メーカーの公式の案内を確認し、最新の情報と注意事項に従う
- 改ざんが疑われる端末では復元フレーズを入力せず、取引もしない。復元フレーズや秘密鍵が漏れた恐れがあるなら、改ざんされていない端末で新しい復元フレーズを作り、残りの資産を新しいウォレットへ移す
- 秘密鍵や復元フレーズは、メーカーや取引所、警察を名乗る相手を含め、誰にも教えない
3 つ目は、被害の後に来る二次的な詐欺への備えだ。警察は、頼んでいないウォレットの確認や復旧の申し出に注意するよう書いている。
ハードウェアウォレットは「秘密鍵を端末の外に出さない」ことを安全の根拠にしてきた。Ledger が10月に明かした手口は、端末の中の金庫ではなく、利用者が目で読む画面を狙うものだった。どこで買ったかが安全を左右する以上、購入の経路を確かめることが、端末を使う最初の手順になる。
次に見るもの
確認先は、Ledger のブログで予告された技術面の詳しい公表と、シンガポール警察の発表ページだ。Ledger は「今後さらに詳細を公表する」と書いており、シンガポールの 2 件が CryptoBilis の端末と同じ部品かどうかは、そこで初めて分かる。警察が逮捕や起訴を発表すれば、植込みを誰がどこで行ったのかが見えてくる。
ことば
- ハードウェアウォレット — 暗号資産の秘密鍵を、ネットにつながらない専用の端末の中に保管する道具。取引に署名するときだけ使い、鍵そのものは端末の外に出さない設計になっている。
- 復元フレーズ — ウォレットを作るときに表示される 12〜24 個の単語の並び。これがあれば別の端末で同じウォレットを作り直せるため、漏れると資産をそのまま持ち出される。
- サプライチェーン攻撃 — 製品が作られてから利用者の手に届くまでの途中に細工を入れる攻撃。利用者は正規の製品を買ったつもりで、細工された端末を受け取ることになる。
🔗 一次ソース
