ビットコインセキュリティ警告:Trezorデータ漏洩で13,689人の顧客が影響

ビットコイン (BTC)のセルフカストディ利用者に対し、新たなフィッシング脅威が浮上している。ハードウェアウォレットメーカーのTrezorは8月13日、同社のサードパーティ物流パートナーであるShipMonkがデータ侵害を受け、13,689人の顧客情報に影響が及んだことを確認した。Trezorは自社システムへの侵入はなく、秘密鍵やシードフレーズ、デバイスファームウェアは一切漏洩していないと明言している。しかし流出したデータには個人を特定できる情報が含まれており、説得力のあるソーシャルエンジニアリング攻撃に悪用される恐れがある。同社のインシデント報告によると、影響を受けたユーザーのうち11,742人については氏名、メールアドレス、電話番号、配送先住所が漏洩し、残る1,947人については氏名、都市名、メールアドレスがアクセスされた。Trezorは、ハードウェアデバイス自体は安全であり、資金はオフラインで保管された暗号鍵によって管理されているため、配送記録の漏洩が直接的な資金流出にはつながらないと説明している。現実的な危険はソーシャルエンジニアリングにある。攻撃者はTrezorのサポート担当、銀行、取引所、配送業者を装い、被害者にリカバリーフレーズの開示や悪意あるトランザクションへの署名を迫る手口を用いる。Trezorは影響を受けた顧客に対し、特に最近のデバイス購入や配送に言及する不審なメール・電話・郵便物に警戒するよう呼びかけている。過去最高値圏の市場環境では詐欺や強要のインセンティブが高まる傾向があり、セキュリティへの注意が一層重要となる。AIクリプトウォレットなどの自動化カストディツールを利用するユーザーも、リーク市場に出回った個人連絡先とブロックチェーン上の公開活動が組み合わされることで標的になり得ると想定すべきだ。現時点でShipMonkの侵害に起因するビットコインの損失は確認されていないが、漏洩データセットは標的型フィッシング、恐喝電話、物理的盗難の試みへの直接的な道を開く。Trezorは改めて、正規のサポートスタッフが12語または24語のリカバリーフレーズを求めることは絶対にないと強調し、そうしたフレーズを要求するメッセージはすべて敵対的なものとみなすべきだと警告している。ユーザーはサポートドメインを慎重に確認し、不審な侵害通知内のリンクをクリックせず、異常な注文詳細は公式アカウントのダッシュボード経由でのみ確認することが推奨される。

フランスの税務当局も、デジタル資産保有者の懸念を高める別のデータセキュリティ侵害に対処している。公共財政総局(DGFiP)は、Zerobytesというハンドルネームを使うハッカーが678,438人の納税者の記録を窃取したことを確認した。漏洩データには住所や不動産情報が含まれている。DGFiPの公式声明によれば、侵入は6月12日に発生し、確認されたインシデントに関連するアカウントへのアクセスは直ちに停止された。ウェブサイトのログイン認証情報は窃取対象に含まれておらず、追加の管理措置が導入されたことも明らかにされている。DGFiPは、当時のアクセス制御ではデータ窃取の発生を検知できないほど侵入が高度であったことを認めつつ、攻撃者が納税者データベース全体を取得したわけではないと説明している。影響を受けた個人や事業者にはメールまたは郵便で通知が行われ、閲覧・抽出された記録の詳細が個別に伝えられる。このデータセットは数千ユーロで売却に出されていると報じられており、犯罪者が購入して富裕層世帯の特定に利用する可能性がある。フランスの暗号資産保有者にとっての懸念は税務行政そのものではなく、住所・不動産保有状況・財務プロファイルが組み合わさることで生じる物理的セキュリティリスクにある。SNS上ではいわゆるレンチ攻撃、すなわち被害者に資産へのアクセスを強制的に開示させる手口への注目が集まっている。フランスではすでにこうした事例が発生しており、4月時点で当局は暗号資産関連の誘拐事件12件を捜査し、88人を起訴、41件の攻撃を記録している。Bitstackの戦略・コミュニケーション責任者であるAlexandre Stachtchenko氏は、当局が既存記録を保護できることを証明するまで国家による個人データ収集を一時停止すべきだと提言した。この事例は、漏洩した納税者ファイルが取引所への開示情報、公開決済記録、さらにはプロモーション目的のエアドロップ請求記録と照合されることで、より完全な財務プロファイルが構築され得ることも示している。ビットコイン (BTC)やその他のアルトコイン保有者にとっての運用上の教訓は、ブロックチェーン外でのプライバシー侵害がオンチェーン資産をも危険にさらし得るという点である。

COINOTAGの分析では、これら2件のインシデントを一つの傾向として捉えている。ビットコインに対する攻撃面は、プロトコルコードから個人データへと移行しつつある。事後検証の結果、オンチェーン上の送金には異常はなく、秘密鍵の侵害も確認されていない。Trezorの開示は物流ベンダーを障害点として特定し、DGFiPの声明は内部アクセスの侵害と678,438件分の納税者ファイルの漏洩を明らかにしている。したがって必要な対策はウォレットソフトウェアの改善ではなく、アイデンティティセキュリティの強化である。通信の検証、データ露出の最小化、漏洩記録が強要に利用され得るという前提での行動が求められる。高額保有者にとっては、独立した連絡先の検証、ハードウェアキーの分離、アイデンティティとウォレットアドレス間の公開リンクの削減を含む運用セキュリティの徹底が不可欠である。