トレーダーが新品Ledgerウォレットで失った80 Bitcoin(BTC)は約660万ドル相当

購入10日目のLedgerから80 Bitcoinが消失

暗号資産トレーダーが、コインの保護のために購入したハードウェアウォレットから80 Bitcoin (BTC)(当時の価格で約660万ドル相当)を単一の送金で失った。コインがそのデバイス上に眠っていた期間はわずか10日である。ブロックチェーン上の公開記録を照会できるmempoolエクスプローラーによれば、80 BTCは9月29日に当該アドレスへ全額入金され、10月9日05:54(UTC)の単一トランザクションで一括流出した。オンチェーン追跡企業Lookonchainの報告では、デバイスは東南アジアを拠点とする販売代理店CryptoBilis経由で購入された新品のLedgerハードウェアウォレットで、トレーダーは約4か月前に1BTCあたり約6万5,000ドル、合計約520万ドルでこれらのコインを取得していたという。被害の発覚から数時間後、Ledgerは調査チームが資金流出の経緯を調べている間、CryptoBilisに対し販売停止を命じ、直近の購入者にはデバイスの初期設定を見合わせるよう呼びかけた。送金の発生時点でビットコインの価格は8万3,000ドルを上回っており、含み益約138万ドルもコインとともに消えた。金額としては熟練したクリプトホエール(大口保有者)の基準でも大きく、被害はビットコインのセルフカストディ側に直撃する形となった。ハードウェアウォレットはホットウォレットと異なり秘密鍵を完全にオフラインで保管する設計である。だからこそ、導入10日のデバイスからの流出は、ネットワークではなくデバイス自体への疑義を即座に呼ぶ。さらに、当該トレーダーの80 BTCと同じブロックに乗った少なくとも6件の他の大口送金が、アナリストが流出先と結び付けるアドレスに向かっていた。オンチェーンの足取りを確認した限り、この一致は偶然とは言いがたい。

流出推計は8,000万ドルを超える

個人の被害は、より大きな事件の一部にすぎない。ブロックチェーン分析企業Arkhamが公表した損失推計では、一連の事件全体で8,000万ドルを超え、根因はまだ確定していないという。セキュリティ企業SlowMistが運用する追跡サービスMistTrackはさらに上の水準を挙げ、総損失を最大9,000万ドルと見積もった。MistTrackはまた、ステーブルコインUSDTの発行体Tetherが盗難に関連するアドレス上のUSDTを凍結したとも指摘する。発行体は自社のトークンコントラクトを管理するため、この凍結が可能だ。Bitcoin (BTC)には同等の凍結機能がなく、盗まれたコイン自体は依然として移動できる。複数の大口送金が同じ流出路に結び付いている事実は、単一のパスフレーズ漏洩ではなく複数の被害者が想定されることを示し、一件の個人的な損失を組織的な調査へと拡大させている。Ledgerはデバイスに改ざんがあったかどうかをまだ明らかにしておらず、調査の進展に合わせて更新情報を公開する方針を表明している。当メディアの先の報道「Ledger、販売代理店CryptoBilis関連の8,600万ドルBitcoin(BTC)盗難を調査」では、販売停止の経緯を随時追った。業界の状況も追い打ちをかける。8月にはColdcardのファームウェア不具合により約7,000万ドルのBitcoinが流出した。今年2件目の大型ハードウェアウォレット事故であり、新規購入者に初期設定の見合わせが呼び掛けられたのは今回で2度目である。

オンチェーンではなくサプライチェーンの問題

同じブロックに乗っていた他の6件の大口送金は、孤立した事故ではなく組織的なドレイナー(資金流出)攻撃の可能性を示唆する。CryptoBilisを経由する供給網こそ、Ledgerがデバイスの改ざんを確認または否定できるまで、調査が引き続き手繰り寄せる糸だ。資金の回収見込みは厳しい。Tetherによる凍結は関連アドレス上のUSDTを足止めできるが、Bitcoin自体は凍結できず、盗まれたコインは通常、取引履歴を攪乱して出所をぼかすサービス、暗号資産ミキサーへと集約され、循環させられる。05:54(UTC)の一斉送金を記録したmempoolの記録が依然として主要な証拠基盤であり、関連アドレスからの動きは今やリアルタイムで追跡可能である。Ledgerが調査結果を公表するまで、セキュリティ部門の現場では、当該流通経路で新たに購入したデバイスを初期設定せず待機し、公式の更新を待つ構えが実務上の標準となっている。