正規品でも安全ではない？仮想通貨ウォレットに仕込まれた不正部品

10月初め、東南アジアでレジャーのハードウェアウォレット（秘密鍵をオフラインで保管する専用端末）から資産が失われる被害が判明しました。端末は正規販売代理店CryptoBilisを通じて購入されたものでした。レジャーは10月10日、被害者の端末に不正な追加部品が組み込まれていたことを確認しました。

レジャーは10月13日、追加部品がセットアップ時に画面へ表示される24語の復元フレーズを読み取り、モバイル回線で送信していたと説明しました。セキュアチップやOS、取引署名の仕組み自体は改変されていませんでした。

ブロックチェーン分析企業ビットクエリは、6つのネットワークの324ウォレットから約1億200万ドルが盗まれたと推計しています。ただし、レジャーはこの総額を確認していません。

レジャーは10月15日、攻撃者が数カ月かけて正規品を購入し、部品を組み込んで流通網に戻したと発表しました。同社は東南アジアと香港の販売店に販売停止を要請しています。正規品確認機能はチップの真正性を検証できるものの、筐体内の追加部品までは検出できないとされています。ドイツの家電量販大手メディアマルクト・ザターンも販売を停止しました。

被害の可能性がある場合、新しい端末に同じ復元フレーズを入力しても危険は残ります。レジャーは、新しいフレーズで作成した口座へ資産を移すよう呼びかけています。自己管理においては、流通経路を含めたハードウェアへの信頼も問われることになりそうです。