Ledger、スパイチップ埋め込みによる暗号資産盗難を公式確認
原題: Ledger confirms spy chip implant behind wallet crypto thefts
なぜ重要か
物理的サプライチェーン攻撃の公式確認は、ハードウェアセキュリティ全体の信頼性に直結する重大な事例だ。
ハードウェアウォレット大手Ledgerは、同社製品へのスパイチップ埋め込みが暗号資産盗難の原因であることを公式に認めた。改ざんされた物理デバイスを通じて秘密鍵が窃取されたとみられ、サプライチェーン攻撃の一形態として注目されている。被害の規模や詳細な手口についてはbleepingcomputer.comが報じた。
ハードウェアウォレットメーカーのLedgerは、同社製品に不正なスパイチップが埋め込まれており、それが原因で一部ユーザーの暗号資産が盗まれたことを公式に確認した。
この種の攻撃は「サプライチェーン攻撃」と呼ばれ、製品が工場出荷後にユーザーへ届くまでの流通過程で、悪意ある第三者が物理的に基板へ不正チップを追加・改ざんするものだ。埋め込まれたスパイチップは、デバイス上で生成・保管される秘密鍵や署名情報を外部へ送信できる機能を持つとされる。
Ledgerのデバイスは「Ledger Nano」シリーズが代表的で、オフライン環境で秘密鍵を保管する仕組みにより、ソフトウェアウォレットより安全とされてきた。しかし今回の事例は、物理的な改ざんに対してはハードウェアウォレットも無防備ではないことを示している。
Ledgerはこれまでも2020年に顧客データベースの流出事故を起こしており、セキュリティ面での信頼回復が課題となっていた。今回の件は、ソフトウェア的な脆弱性ではなく、ハードウェアレベルの物理的侵害であることが特に深刻だ。
同社は現在、影響を受けた製品の特定と被害状況の調査を進めているとみられるが、購入ルートや流通経路の安全性を改めて問い直す必要がある。正規販売店以外での購入や中古品の使用リスクが、改めて強調される事態となった。