CryptoBilis販売Ledgerのスパイチップ侵害、タスク詐欺運営者から60BTC(490万ドル相当)が流出

更新 10:51 UTC：詐欺の運営者は9月22日に収得資金を3つのLedgerアドレスへ集約し、残高は10月9日まで手つかずのまま置かれた後、盗難資金の保管が既にフラグ付けされていたウォレットへ、各アドレスから単一の送金で全額空にされた。

3つのLedgerウォレットから60BTCが全額流出

東南アジアの販売代理店CryptoBilisが供給したLedgerハードウェアに不正チップが仕込まれていた一連の供給網侵害で、皮肉な形の被害者が登場した。偽の求人で人々を騙し数百万ドル規模の資金を稼いできたタスク詐欺の運営者が、改ざん済みのLedger端末に読み込まれた3つのウォレットを空にされ、ビットコインの価格換算で490万ドルを超える損失を被ったのである。オンチェーン分析企業のChainalysisが木曜日にXへ投稿し、この事案を公表した。それによれば当該個人はいわゆるタスク詐欺によって資金を集めていた。この手口は、最初は偽の商品レビュー投稿や販売数の水増しなどの小さな作業に対して少額の報酬を支払うところから始まる。その後、参加者の残高がマイナスになったと告げ、本来の報酬を受け取るには自分の資金を先に入金するよう要求する。詐欺の運営者はこの営みで得た資金を3つのLedgerウォレットアドレスへ移したが、攻撃者はそこから合計60BTCをすべて奪い、時価490万ドル超に達した。調査で判明したのは、侵害がCryptoBilisという流通経路にとどまり、Ledger製品そのものにまで及んでいない点だ。影響を受けた端末には認可されていないチップが組み込まれており、移動体通信網を通じてウォレットのリカバリー情報を外部へ送信できる仕組みだった。リカバリーデータとは、紛失や機種交換の後にクリプトウォレットを復元するための情報であり、いったん端末の外に出れば、保管されたビットコインの支配権は受け取った者の手に移る。つまりこのチップは、対象端末が保管する資産すべてへの直接的なアクセスを攻撃者に渡したことになる。ただし公表資料は被害の範囲をまだ確定させていない。チップが組み込まれた端末の台数も、CryptoBilisがそれらを出荷していた販売期間も明らかでなく、危険にさらされた端末の総数は依然として開いたままだ。

損失の背景にあるタスク詐欺は、単純な段階階建てで動く。標的は偽の在宅求人に応じ、小さな作業の報酬を受け取る。多くは商品レビューの投稿や販売数の水増しだ。入金のパターンが積み重なって信頼が形成された段階で、プラットフォームは残高がマイナスになったと主張し、稼いだ額を受け取る前に自分の資金を入金するよう要求する。ここで詐欺は少額支払いから本格的な入金搾取へと転換する。画面の裏側でスポット取引のような実在の取引が行われているわけではなく、利益は詐欺グループの管理画面の中に存在するだけだ。初期の少額支払いは、被害者に取り残される恐怖、いわゆるFOMOを意図的に起こし、自分の資金を入れ続けさせるための設計である。今回の運営者はこの方法で数百万ドルを積み上げてきたが、今度は自らが損失側に回った。Chainalysisの追跡は資金を3つのLedgerウォレットアドレスまでたどり、攻撃者はそれらを全額空にした。そして物語のより重い半分はハードウェアの側にある。Ledger端末は通常動作において、ウォレットを復元する単語列であるリカバリーフレーズがセキュアエレメントの外に出ないよう設計されている。CryptoBilis経由で入手された端末から見つかったチップは、この前提を破り、リカバリー情報を移動体通信で外部へ送った。このことは、攻撃にフィッシングメールも、接続先PCのマルウェアも、端末所有者の操作ミスも一切不要だったことを意味する。該当するハードウェアを保有しているだけで、保管資産のすべてを失い得た。窃盗犯の特定はまだされておらず、チップ入り端末の台数や販売期間に関する数字も公表されていない。490万ドルの損失は現時点で最も明確な確定被害であり、それ自体が犯罪行為だった運営者という一人の被害者に集中している。

オンチェーン上の流出タイミングが確定した。詐欺の運営者は9月22日に収得資金を3つのLedgerアドレスへ集約し、残高は10月9日まで手つかずのまま置かれた後、盗難資金の保管が既にフラグ付けされていたウォレットへ、各アドレスから単一の送金で全額空にされた。60BTCの損失は、CryptoBilis経由で販売された端末をめぐるはるかに広範な侵害の中に位置づけられる。Bitqueryの推計では、この侵害による総損害は約1億200万ドルに上り、その内訳はTron上のUSDT約7,930万ドル、およびEthereum、Tron、Bitcoinにまたがる約203.8BTC(時価約1,680万ドル)を含む。Ledgerは、直近90日以内に当該販売代理店から購入した買い手に対し、新しいリカバリーフレーズで端末を初期設定し直すよう警告しており、Tetherは窃盗に関連するUSDT約1,000万ドルを凍結した。一方、ChainalysisはTornado Cash、Zcash、ブリッジおよびステーブルコイン送金を通じた資金洗浄の追跡を続けている。

影響を受けた端末の台数は依然非公表

オンチェーンデータに基づく当メディアの読みでは、これは一定の輪郭を持つが未完結の事案だ。流出額、すなわち3アドレスにまたがる60BTCはオンチェーン上で直接検証でき、追跡はそれらのアドレスをタスク詐欺の運営者に結び付けている。損失側の裏付けは推計ではなく一次証拠に立っている。未解決の部分は上流にある。端末の台数も販売期間も開示されていない以上、CryptoBilis経由でLedger端末を購入し資金を保持したままの人は、公開資料から自分のリカバリーデータが端末外へ流出したか否かを判断できない。シリアル単位の範囲特定か、検証可能な対策手順が公表されるまで、危険にさらされた人口は確定せず、空にされた3つのウォレットだけが唯一の確定した終点であり続ける。