LedgerユーザーからBitcoin(BTC)・Ethereum・TRONで計8,600万ドルが流出

Ledger被害の総額は8,600万ドルを超える

10月9日(金)に公開されたオンチェーンの追跡データによると、Ledgerのハードウェアウォレットユーザーから、主要チェーンにまたがる窃取で8,600万ドル以上が引き出された。追跡を公開したのはアナリストアカウントのSpecterで、投稿時刻は12時24分(UTC)。この追跡は、ブロックチェーン上の窃取ウォレットアドレスのクラスタをたどったもので、対象にはEthereum (ETH)、TRON、Bitcoin(BTC)が含まれ、Ledgerウォレットが空にされたというXやReddit上の利用者報告を一つに統合している。Specterの説明では、これらのアドレスは各チェーンで数百人規模の被害者のウォレットから資金を受け取ったという。投稿には受取アドレス10件が列挙された。最終確認時点で、10件の合計残高は2,500万ドル強にとどまる。つまり盗まれた資金の大半はすでに次の移送に移っており、受け取り先に留まってはいない。空になったデバイスの報告は金曜朝から各SNSで相次ぎ、数時間のうちに被害額は単一のアドレス群として確定した。損失を負っているのは個々の保有者であって市場の基盤ではない。ビットコインの価格は今回の要因ではなく、取引所やプロトコルの侵害も伴っていない。現時点でこの追跡が確定しているのは被害の規模と広がりであり、手法ではない。被害は業界で最も流動性の高い3ネットワークをカバーし、被害者が数百人規模に達したことで、今年起きた個人投資家向けウォレット事故の中でも大型の部類に入る。受取アドレスの一覧は、この事件で最も実用的な公開情報でもある。取引所やエクスプローラ、監視部門は具体的な識別子としてフラグを立てられる。一方、入口が何だったのか、デバイスの侵入、悪意ある署名フロー、あるいは別の要因なのかは、依然として特定されていない。この空白こそ、日常的にLedgerデバイスを使い続ける多くの利用者にとっての最大の懸念であり、金曜に投稿された3件のうち2件が技術的な検証ではなくアドレス一覧だった理由でもある。

SEALが被害者向けの連絡窓口を開設

被害額がどの程度の速さで膨らんだかを示す記録が残っている。アカウントtanuki42の投稿は12時00分(UTC)時点で合計7,200万ドル超としつつ、数字は増加中だと述べ、アドレス8件を列挙した。この8件はすべてSpecterの10件に含まれ、Specterの追跡はさらに2件のBitcoinアドレスを上乗せした。業界対応組織のSecurity Alliance(SEAL)は12時29分(UTC)にこの一覧を引用投稿し、これらのアドレスへ資金を引き出された人はできるだけ早くSEAL 911のTelegramボット経由で連絡するよう呼びかけた。3件の投稿のいずれも、ウォレットがどうやって空にされているかを説明しておらず、これが事件の中心にある未知の部分だ。LedgerデバイスであれTangem Mobile Walletであれ、ハードウェアウォレットは秘密鍵がインターネット接続された端末に一切触れない、という前提の上に成り立つ。この規模の流出は、その前提のどこが破られたのかを突きつける問いになる。破綻点はデバイス本体なのか、流通や供給の工程なのか、署名体験を偽装した何かとやり取りした保有者側にあるのか。金曜に交差している仮説は、署名フローの侵害からリプレイ攻撃まで幅が広いが、SpecterもSEALもいずれも支持しておらず、技術的な検証報告はまだ存在しない。確認済みの事実はより狭い。受取アドレス、そこに計上された総額、そして24分の間隔で別々に作成された2つのリストの重なりだ。この重なり自体が、複数の無関係な事故ではなく単一のキャンペーンであることの証拠になる。被害者への指示は変わらない。SEAL 911に連絡し、取引記録を残せる限り保存し、列挙されたアドレスを資金の流れた地図として扱うことだ。

資金は数時間以内に次へ移送

オンチェーンの追跡を読み解くうえで最も示唆的なのは残高分の数字だと、私たちは見ている。奪われた8,600万ドル超のうち、10件のアドレスに最終確認時点で残っていたのは約2,500万ドルだけだ。略取額の大部分は駐留せず、すでに次の段階へ押し出されている。受取から再分配までが数時間単位で測れるこの速度は、実行犯が最初から発覚前提の事件として資金を扱っていたことを示す。アドレス一覧の公開はそれ自体では資金を取り戻せないが、取引所や監視部門にフラグ設定や凍結のための具体的な識別子を与える。この点は、最近のオンチェーン検証が公開鍵が露出した626万BTCを炙り出した経緯と同じ働きをする。検証報告が出れば、Bitcoin (BTC)関連の報道として追跡する。未解決のままだのは手口だ。確定しているのは損失額、3チェーン合計で8,600万ドル超という数字だけだ。