CryptoBilis販売Ledgerのスパイチップ侵害、タスク詐欺運営者から60BTC(490万ドル相当)が流出

更新 12:59 UTC： Ledgerは是正ガイダンスに加え、サプライチェーンに関する説明を追加した。

3つのLedgerウォレットから60BTCが流出

東南アジアの販売代理店CryptoBilisが売ったLedgerハードウェアに関わるサプライチェーン侵害は、皮肉にも予想を超える被害者を生んだ。偽の求人で人々を騙し数百万ドル規模の資金を積み上げてきたタスク詐欺の運営者が、改ざんされたLedger端末に読み込まれた3つのウォレットを空にされ、490万ドル超のビットコインを失った。この事実を、ブロックチェーン分析企業のChainalysisが木曜日にXへ投稿して公表した。同氏はいわゆる「タスク詐欺」で資金を集めていたという。この手口は、偽の商品レビュー投稿や販売実績の水増しなどの小さな作業で報酬を先に支払う形で信頼を築き、その後に話を転換させるものだ。当該の運営者は詐欺で得た資金を3つのLedgerウォレットアドレスへ移し、攻撃者は合計60BTC、評価額490万ドル超を全額引き抜いた。侵害の範囲はあくまでCryptoBilisの流通経路に限られ、Ledger製品全体に及ぶものではない。調査では、該当端末内部に不正なチップが組み込まれ、モバイル回線を経由してウォレットの復元情報を外部へ送信できる状態になっていたことが確認された。復元データとは、紛失や機種交換の後に暗号資産ウォレットを復旧させるための情報であり、一度端末の外に出れば、受け取った者が保管中のビットコインを自由に動かせる。つまりチップは、端末が保管する資産への直接のアクセス権を攻撃者に渡したことになる。ただ、公表資料は被害の裾野を確定できていない。チップが仕込まれた端末の台数も、CryptoBilisがそれらを販売していた期間も明かされておらず、リスクにさらされた端末の総数は今も開かれたままだ。

損失の背景にあるタスク詐欺は、単純な段階的な持ち上げで動く。標的は偽の在宅求人に応募し、商品レビューの投稿や販売数の水増しなどの小さな作業で報酬を受け取る。支払いの積み重ねで信頼ができあがったところで、プラットフォームは口座残高がマイナスになったと告げ、収益の引き出し前に自分の資金を入金するよう求める。ここで詐欺は少額報酬から本格的な入金の搾取へと切り替わる。画面の裏側で本物のスポット取引が行われているわけではなく、収益は詐欺師の管理画面上にしか存在しない。初期の小口支払いは、被害者に逃したくないという心理、いわゆるFOMOを起こさせ、自分の資金を入れ続けさせるために設計されている。この運営者はその方法で数百万ドルを積み上げたが、今度は自らが奪われる側に回った。Chainalysisの追跡は資金を3つのLedgerウォレットアドレスまで辿り、犯人はこれらを空にした。一方、ハードウェアの層の話はより深刻だ。Ledger端末は通常動作では、ウォレットを復元する単語列であるリカバリーフレーズがセキュアエレメントの外に出ない設計になっている。CryptoBilis販売分で見つかったチップはこの前提を破り、復元情報をモバイル回線で送信した。つまり今回の窃盗には、フィッシングメールも接続PCへのマルウェアも端末所有者の誤操作も要らなかった。該当するハードウェアを握っていただけで、保管物のすべてを失いうる。窃盗犯の正体は公表されておらず、チップ入り端末の台数や販売期間の数字も出ていない。現時点で最も明確な確定損害が490万ドルであり、それは自らの営みが犯罪であった一被害者に集中している。

オンチェーンデータは流出のタイミングも確定させた。詐欺の運営者は9月22日に収益を3つのLedgerアドレスへ集約し、残高は動かないまま約2週間放置された。10月9日、各アドレスから盗難資金の保有がフラグ付け済みのウォレットへ、単発の送金で残高が全額引き出された。この60BTCは、CryptoBilis販売端末をめぐるさらに大きな侵害事件の一部にすぎない。オンチェーン分析のBitqueryは全体の損害を約1億200万ドルと推計しており、内訳はTron上の約7,930万ドルのUSDTと、Ethereum、Tron、Bitcoinの各網にまたがる約203.8BTC(約1,680万ドル相当)を含む。Ledgerは過去90日以内にこの代理店経由で購入した買い手に対し、新しいリカバリーフレーズで端末を初期設定し直すよう警告した。Tetherは窃盗に絡む約1,000万ドルのUSDTを凍結した。一方、Chainalysisは資金がTornado Cash、Zcash、ブリッジ、ステーブルコイン送金を経て洗浄される経路を追跡中だ。

Chainalysisが10月16日に公表した詳報は、事件の皮肉を鋭くすると同時に評価額を絞った。タスク詐欺の運営者に残された盗まれたビットコインは約480万ドル相当とされ、当初の490万ドルの読みからわずかな減額修正である。同社によれば、この損失はより広いLedger窃盗の追跡作業の中で浮かび上がった。掃き出された資金の行き先にも詳細がある。10月9日の3件の送金をすべて受け取った単一のウォレットには、すでに窃盗の前歴があった。つまり詐欺師の収益は、別の犯罪者の手に渡り、盗難資金としてフラグ付けされたことのあるアドレス群を通過したことになる。Chainalysisはこのパターンについて、盗まれた資金が窃盗の痕跡を持つアドレス間を常態的に循環する実例だと説明しており、詐欺の運営者、最初の窃盗犯、そして現在60BTCを握る者が同じ洗浄連鎖の内側に並ぶ構図を残している。

Chainalysisが公開したチャートは資金の流れに新たな経路の詳細を加えている。詐欺の収益は3つのLedgerアドレスに到達する前に統合用ウォレットを経由しており、各アドレスは空にされた時点でそれぞれ約164万ドルを保有していた。同社は詐欺師が端末をどこで購入したかについては明らかにしていない。追跡作業と並行して、LedgerのDonjonセキュリティチームは、不正チップが初期設定時に画面上の24語のリカバリーフレーズを読み取り、LTE回線で送信していたと報告した。Ledgerは確認済みの損失がすべてCryptoBilis経由で販売された端末に関するものだと述べている。火曜日には、東南アジア6カ国と香港の販売代理店および流通業者に対し端末の販売停止を要請した。一方、オンチェーン調査者のSpecterは容疑のある窃盗を8,600万ドル超まで追跡しており、Ledgerは調査継続中としてこの数字は検証していないとしている。

Ledgerは是正ガイダンスに加え、サプライチェーンに関する説明を追加した。同社のインフラ、システム、公式の直販チャネルが侵害された兆候は確認されておらず、改ざんは工場と購入者の間の流通段階で起きたことになる。同社は過去90日以内にCryptoBilis経由で端末を購入した人への助言を状態別に分けている。未開封の端末はそもそも初期設定せず、すでに設定済みで資産を保管している端末は資金を別の安全なウォレットへ移すべきだとしている。それ以外の買い手には、公式または正規のチャネル経由でのみ購入すること、到着時に梱包を点検すること、事前設定済みの端末やリカバリーフレーズがすでに書かれた状態で届いた端末は決して使用しないことが求められている。

影響を受けた端末数は依然非公開

オンチェーン記録を当社が読み解く限り、本件は輪郭の見えた、しかし未完の事件だ。流出額そのもの、すなわち3アドレスにまたがる60BTCはオンチェーン上で直接検証でき、追跡はこれらのアドレスをタスク詐欺の運営者に結び付けている。損失側の裏付けは推計ではなく一次的な証拠に立つ。未解決なのは上流だ。端末台数も販売期間も開示されていない以上、CryptoBilis経由でLedgerを買い、今も資金を預けたままの人は、公開資料だけでは自分の復元データが端末の外へ出たか否かを確認できない。台数単位の範囲か、検証可能な是正手順が公表されるまで、曝露された端末の母集団は確定せず、空にされた3つのウォレットだけが現時点の確定した着地点であり続ける。