Ledger端末に不正なハードウェア、販売店経由の流出は約147億円か

ハードウェアウォレット大手のLedger（レジャー）は、東南アジアの販売店CryptoBilisで端末を買った利用者の資金が流出した問題で、被害を受けた利用者の端末1台に、許可されていないハードウェアの埋め込み（インプラント）があったことを確認したと、日本時間11日2時9分に公式サポートのXアカウントで明らかにした。日本時間12日2時13分の「72時間の更新」では、確認できた被害の事例はすべてCryptoBilisが販売した端末だと説明したが、被害額は公表していない。

レジャー、被害者の端末に不正なハードウェアの埋め込み

レジャーは、端末の埋め込みについて、被害を受けた利用者の端末の1台で確認したとしている。埋め込みの仕組みや、他の被害との関係は明らかにしていない。

同社は、関係当局と協力して調査を進めており、業界のセキュリティ支援組織SEAL 911の協力も得ている。調査に関する情報は、同社のバグ報奨金制度の窓口で受け付ける。

レジャーのセキュリティ基盤、システム、サービスが侵害された兆候はないという。CryptoBilisは、調査が終わるまでハードウェアウォレットの在庫の販売をすべて止めた。

レジャー、販売店に返品の再販売をしないよう要請

72時間の更新で、レジャーは自社のシステムと直販の経路は影響を受けていないと改めて説明した。被害を受けた利用者には、公式の窓口でサポートに連絡し、地元の警察などに被害を届け出るよう求めている。

同社は正規の販売店と代理店に対し、正規の経路からだけ製品を仕入れ、返品された製品を在庫に戻さないよう改めて求めた。利用者には、正規でない販売店では不審な端末や偽造品、改造された端末をつかむ危険があるとして、そうした店で買わないよう強く勧めている。

今後は、正規の販売店の管理の見直し、ハードウェアの保護の強化、当局との協力を進めるという。同社は、今回の脅威は業界全体の問題だとし、製品が利用者に届くまでの管理と改ざん防止の手法の改善に、研究者や他のメーカーと共に取り組むよう呼びかけた。

CryptoBilisで端末を買った利用者に対しては、未使用の端末は初期設定せず、設定済みの場合はレジャーから入手した端末で新しいシードを作り、資産を移すよう求めた。

レジャーの被害額、Bitqueryは9,290万ドルと推計

レジャーは被害額を公表していないが、オンチェーンの研究者や分析企業が、流出先のアドレスを示して推計を公表している。

日本時間9日21時に7,200万ドル超としたtanuki42氏は、被害者にSEAL 911へ連絡するよう呼びかけた。同21時24分には、Specter氏がイーサリアム、トロン、ビットコインで数百の被害ウォレットから資金が流れ込んでいるとして、8,600万ドル超と推計している。

分析企業のBitqueryは日本時間11日16時13分、311のウォレットから9,290万ドル（約147.2億円）が流出したとの分析を公表した。チェーン別の内訳は次のとおりで、トロンが全体の7割超を占める。

Bitqueryによると、トロン上の25のウォレットが3秒のうちに署名していた。テザーが凍結したUSDTは1,000万ドル相当で、7,900万ドル相当は今もオンチェーンで追跡できるという。

JinaCoinが日本時間13日にトロンスキャンで確認したところ、研究者らが流出先として示したトロン上の4つのアドレスは、いずれも残高がほぼなく、資金はすでに別のアドレスに移されていた。4つのうち1つは、流出が報告される1週間前の10月2日（UTC）に作成されたものだった。

セキュリティ企業のMistTrackも、テザーが関連するアドレスのUSDTを凍結しているのを確認したとし、報告された損失は9,000万ドルに近いとしている。同社によると、流出に関係するアドレスから約463 ETHが、取引の追跡を難しくするミキシングサービスのトルネード・キャッシュに送られた。

Bitqueryは、流出させられたトロン上のアドレスの一つが今も攻撃者の管理下にあり、10日に送られた7万USDTが10分以内に抜き取られたとして、このアドレスに送金しないよう警告している。

CryptoBilisは、レジャーの公式サイトの販売店一覧に、正規販売店として掲載されていた。レジャーは、詐欺師がこうした事案につけ込むことがあるとして、公式の窓口だけを頼るよう呼びかけている。

関連：レジャー購入者の資金喪失報告、東南アジアの販売店に出荷停止を要請

※価格は執筆時点でのレート換算（1ドル＝158.4円）