ハードウェアウォレット大手のLedger（レジャー）は15日、利用者の資金喪失につながった端末改ざんについて、調査状況と対応策を公表した。組織的な犯罪集団が数カ月にわたり正規端末へ部品を仕込み、東南アジアの販売店を通じて再び流通させていたという。
正規端末に部品を埋め込み、販売網へ戻す
レジャーによると、犯罪集団は本物の端末を購入して筐体を開け、初期設定時の復元フレーズを取得するための部品を取り付けていた。その後、端末を販売網へ戻したほか、復元フレーズを収集するサーバーや、資金の引き出し・洗浄を行うシステムも構築していたと説明した。
同社は、端末のチップや基本ソフトに欠陥はなく、サーバーも侵害されていないと強調。端末が管理下を離れた後の販売経路が狙われたとみており、各地の店舗や倉庫から調べたサンプルにも改ざんは見つからなかったとした。
セキュリティ部門レジャー・ドンジョンの技術資料によれば、正規品チェックは端末内部のセキュリティチップが本物かを確かめる仕組みとなっている。そのため、本物のチップを残したまま不正な部品が取り付けられていても、改ざんを検出できない。
レジャーは東南アジアと香港の正規販売店・販売代理店に販売停止を要請。返品された端末を再販売しない従来のルールも再通知し、新たに製品を売り場の棚やディスプレイに並べず、バックヤードで保管して購入時に手渡すよう求めた。
324ウォレットから資金流出、タスク詐欺の実行者も被害に
ブロックチェーン分析企業Bitquery（ビットクエリー）は、今回の資金流出について推計を更新した。15日時点で対象は6チェーンの324ウォレット、計約1億200万ドル（約161億円）となっている。
JinaCoinが13日に報じた同社の先行推計は、311ウォレット、約9,290万ドル（約147億円）だった。ただし、これは追跡対象が広がったことによる推計の更新であり、レジャーが確認・公表した被害総額ではない。
一方、個別の被害については、ブロックチェーン分析企業Chainalysis（チェイナリシス）が16日に追跡結果を明らかにしている。同社によると、被害者の中にはタスク詐欺の実行者も含まれており、詐欺で得た60 BTC超、約480万ドル（約7億5,900万円）を別の攻撃者に奪われていた。
この詐欺では、参加者に報酬を支払って商品レビューや販売実績を偽らせた後、残高がマイナスになったとして入金を求めていたという。チェイナリシスは、集められた資金が9月22日に3つのレジャーアドレスへ移され、10月9日に各アドレスから同じウォレットへ引き出されたと分析している。
チェイナリシスは、この資金流出に関係する端末から改ざん部品が見つかったとは述べていない。レジャーは調査の詳細を今後公表し、可能になれば業界関係者にも詳しい技術情報を共有する方針だ。
関連：レジャー改ざん問題、販売停止が7地域と欧州に拡大──Amazon Japanでも報告
関連：レジャー端末に不正なハードウェア、販売店経由の流出は約147億円か
※価格は執筆時点でのレート換算（1ドル＝158.1円）
