Ledgerは、インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港にある同社の暗号資産ウォレットの販売代理店と小売業者に対し、機器の販売を停止して店頭から撤去するよう要請した。同社は現在、サプライチェーン攻撃に関連するハードウェア改ざんの事例を調査している。
この決定は、アジアの販売代理店CryptoBilisが販売した一部の機器が、暗号資産へのアクセスに使用されるリカバリーフレーズを盗み取れるよう改造されていたことをLedgerが確認した後に行われた。同社によると、ユーザーから複数の金銭的損失が報告されており、これを受けて10月9日に調査を開始した。
安全性チェックを回避するハードウェアインプラント
Ledgerのセキュリティ部門Donjonは、機器内部に埋め込まれたコンポーネントについて追加の詳細を明らかにし、Mark KarpelèsとTibane Labsが先に公表した報告をおおむね裏付けた。このコンポーネントは、ウォレットのセットアップまたは復元中に24語で構成されるリカバリーフレーズを検出して復号し、アクティベート済みのeSIMを使用したLTE接続を通じて、権限のない当事者へ送信するマイクロコントローラーによって動作する。
Ledgerは、このインプラントは独立したコンポーネントであり、Secure ElementやLedgerのオペレーティングシステムを改変せず、トランザクションや署名も変更しないと説明した。そのため、改造された機器はLedgerが実施する自己安全性チェックを回避できた。これは、ユーザーに届く前に改ざんされたハードウェア機器を検証するには、ソフトウェアの完全性だけでは不十分であることを示している。
CryptoBilis以外にも及ぶ報告
Ledgerによると、現時点で確認されている損失はすべてCryptoBilisが販売した機器に関連している。しかし、ユーザーからは、アジアや欧州の別の販売業者から購入した機器も侵害されていたとの報告が寄せられている。報告には、シンガポールの空港にある技術店舗Metapodや、欧州のMediaMarktチェーンで購入された機器が含まれていた。
これらの報告を受け、MediaMarktは製品を店頭から撤去した。同チェーンはLedgerの機器を販売代理店Aqipa GmbHから調達している。またLedgerは、機器の完全性に関する調査が完了するまで、販売停止の決定を前述のアジア諸国および香港にあるすべての販売代理店に拡大した。
一方、Ledgerは、原資料に記載されているところによれば、同社のインフラ、システム、サービス、直接販売チャネルは安全に利用できると確認した。
なぜこのニュースが重要なのか
今回の事案は、機器のサプライチェーンが、オペレーティングシステムや内部のセキュリティコンポーネントとは独立した信頼上のポイントであることを示している。改ざんは独立したコンポーネントを追加することで行われ、Ledgerの検査が依拠する要素を変更せずにリカバリーデータを取得できた。そのため、機器の出所と保管・流通経路は、保護モデルの重要な一部となる。
ハードウェアウォレット市場の主要な競合であるTrezorも、これに対応して予防措置を講じた。同社は販売代理店網を縮小し、機器の出所、保管、取り扱いに関する法的要件と検査を強化すると発表した。同社は、自社の機器が侵害された証拠は見つかっていないと述べたが、一部の販売代理店との提携を2027年1月1日に終了し、販売許可を取り消す予定である。