CZ、BNBエコシステムに9,290万ドル流出の追跡協力を呼びかけ

5ネットワークにまたがる9,290万ドルの資金流出

ハードウェアウォレット大手のLedgerが、顧客ウォレットから仮想通貨が引き出される被害を調査している。オンチェーン分析によると、Bitcoin、Ethereum、そしてアルトコイン系ネットワークのTRON、BNB Chain、Polygonという5ネットワーク上、合計311のウォレットから流出した額は9,290万ドルに上る。発端は10月9日(金)だ。東南アジアの顧客が、インドネシア、マレーシア、フィリピンで正規販売代理店として登録されている再販業者CryptoBilis経由で購入したハードウェアウォレットから資金が流出し始め、研究者たちが追跡を開始した。当初の損失見積もりは7,200万ドル超だったが、トランザクショングラフを精査し直した結果、報告総額は9,290万ドルに引き上げられた。Ledgerは調査の結論が出るまで、CryptoBilisに対して販売と出荷の全停止を要請した。また公式サポートアカウントは、直近90日以内に同業者から購入したユーザー向けの予防的な利用ガイダンスを発出している。内容は、未開封の端末は初期化せずに保管すること、すでにセットアップが済んでいる場合は新しいシードを使う別の署名装置への資産移行を検討すること、というもの。Binance創業者のChangpeng Zhao氏、いわゆるCZ氏は、当時判明していた情報から、特定の販売業者1社に関わる限定的なサプライチェーン事故であり、ごく一部の購入者が偽造または改ざん済みの端末を受け取った可能性があるとの見方を示した。さらにX上の投稿で、BNBエコシステムの関係者と業界全体に資金の追跡と回収への協力を呼びかけた。同氏はこのデバイスラインを業界で最も長く試練に耐えてきた製品の一つと位置づけ、ブランドをめぐる不安の封じ込みを図っている。今回のBNB側の露出は、特定のプロトコルを経由するものではなく、影響を受けた5チェーンの一つとしてBNB Chain自体に及ぶ。対象を絞ったBNB窃取は前例がなく、79thVaultが運営者キーの侵害により1,250万ドル相当のBNBを失った事例がこれに当たる(運営者キー侵害による1,250万ドル流出の事例)。Ledgerは調査の進展に応じて顧客へ情報を提供し続けるとしている。

追跡の広がりの中でTetherが1,000万ドルの凍結

ハードウェアウォレットは、秘密鍵をオフラインに保つことを目的としたコールドウォレットだ。それだけに、被害者のアドレスからどうやって資金が引き出されたのかが最大の謎として残る。分析企業Bitqueryによるオンチェーン調査では、本格的な流出の約2週間前に少額のテスト取引が確認され、その後、複数ネットワークにわたる一斉送金が続いたという。研究者たちはまた、多数の被害者ウォレットが数秒の間隔で類似したリクエストに署名していたことについても観測しており、事前の準備と共通の支配ポイントの存在をうかがわせるパターンだ。ただし、トランザクション記録だけでは攻撃者がどうやってアクセスを得たのかは示せない。この区別は重要だ。ウォレットが空にされたこと自体は、プラットフォーム侵害の証明にはならないからだ。別の調査では、SpecterがEthereum、TRON、Bitcoinにまたがって数百の被害者ウォレットから資金を受け取った不審アドレスを追跡し、損失を8,600万ドル超と推計した。報道によれば、Tetherはこの窃取事件に関係する20のウォレット内のUSDT約1,000万ドル分を凍結した。これによりトークンの移動は止まったが、それだけでは被害者への返還は実現しない。分析時点で、攻撃者のものとされるウォレットには約14,810 ETHが滞留し、関連するBitcoinアドレスの約203.8 BTCは未移動のままだった。さらにBitqueryは、約1,254 ETHがTornado CashとZcash経由で送金され、後ほど3つの新規ウォレットに現れたことを特定。うち1つには約210万USDCが保管されている。この残高は、発行体による対象アドレスの審査次第で2番目の介入経路になりうるが、凍結が確認されるまで前提にはできない。これとは別に、元Mt. Gox最高経営責任者のMark Karpelès氏が、マレーシアから届いたというLedger Nano Xの写真を公開した。緩衝材を開けた位置に隠された電子モジュールが組み込まれ、外装のシュリンク包装は無傷に見えたという。同氏はハードウェアへのインプラントが高度化していると指摘した。なお、このモジュールが実際に機能していたか、CryptoBilis事件と関連するかは、Ledgerが確認していない。

原因はなお未確認のLedger

これまでに記録として確定しているのは、資金流出、追跡、そして1,000万ドルの凍結までだ。アクセス手法は記録に含まれていない。提示された証拠の中に、Ledgerの中核インフラへの侵害を裏付けるものはなく、偽造・改ざん端末が侵入経路だったと確定するものもない。ただし、両仮説はテスト取引のタイミングと整合しやすい。Ledger自身も原因の特定には踏み込んでいない。BNBの価格がこの件と結びついたことを示す検証済みデータはなく、チェーンは窃取資金を運んだ5ネットワークの一つとして記録に現れるにとどまる。争点を決着させるのは、侵害が再販業者の在庫にあったのか、供給経路の別の場所にあったのかを示すLedgerのフォレンジック調査結果だろう。それまでは、確認済みの対応は再販業者への販売停止要請、顧客向けガイダンス、そして資産凍結の3点だ。