LedgerユーザーからBitcoin(BTC)・Ethereum・TRONで計8,600万ドルが流出

更新 21:34 UTC：取引所へ向かう資金の流れについて、より詳しい内訳が判明した。

Ledger被害の総額は8,600万ドルを超える

10月9日(金)に公開されたオンチェーンの追跡データによると、Ledgerのハードウェアウォレットユーザーから、主要チェーンにまたがる窃取で8,600万ドル以上が引き出された。追跡を公開したのはアナリストアカウントのSpecterで、投稿時刻は12時24分(UTC)。この追跡は、ブロックチェーン上の窃取ウォレットアドレスのクラスタをたどったもので、対象にはEthereum (ETH)、TRON、Bitcoin(BTC)が含まれ、Ledgerウォレットが空にされたというXやReddit上の利用者報告を一つに統合している。Specterの説明では、これらのアドレスは各チェーンで数百人規模の被害者のウォレットから資金を受け取ったという。投稿には受取アドレス10件が列挙された。最終確認時点で、10件の合計残高は2,500万ドル強にとどまる。つまり盗まれた資金の大半はすでに次の移送に移っており、受け取り先に留まってはいない。空になったデバイスの報告は金曜朝から各SNSで相次ぎ、数時間のうちに被害額は単一のアドレス群として確定した。損失を負っているのは個々の保有者であって市場の基盤ではない。ビットコインの価格は今回の要因ではなく、取引所やプロトコルの侵害も伴っていない。現時点でこの追跡が確定しているのは被害の規模と広がりであり、手法ではない。被害は業界で最も流動性の高い3ネットワークをカバーし、被害者が数百人規模に達したことで、今年起きた個人投資家向けウォレット事故の中でも大型の部類に入る。受取アドレスの一覧は、この事件で最も実用的な公開情報でもある。取引所やエクスプローラ、監視部門は具体的な識別子としてフラグを立てられる。一方、入口が何だったのか、デバイスの侵入、悪意ある署名フロー、あるいは別の要因なのかは、依然として特定されていない。この空白こそ、日常的にLedgerデバイスを使い続ける多くの利用者にとっての最大の懸念であり、金曜に投稿された3件のうち2件が技術的な検証ではなくアドレス一覧だった理由でもある。

侵入経路に名前の挙がった容疑者が登場した。Ledgerは金曜、マレーシアの正規販売代理店CryptoBilisからデバイスを購入した東南アジアの顧客の損失を調査中であると発表し、結論が出るまで同代理店に対して販売および出荷の全面停止を求めた。同社のサポートアカウントは、過去90日以内にCryptoBilisから購入した人は、まだセットアップしていない場合はデバイスの初期化を行わず、すでに済ませた場合は新しいシードフレーズを使う別のLedger署名端末へ資産を移すよう呼びかけた。Binanceの共同創業者であるチャンペン・チャオ(Changpeng Zhao)はXへの投稿で、このパターンは限定的なサプライチェーン攻撃、ごく少数の購入者に偽造品ないし改ざん済みのハードウェアが送られた可能性があるとしつつ、Ledgerの全体的な実績については擁護した。Ledgerは原因を確認しておらず、改ざんが実証されたこともない。

窃取の報告は、それ以外では安定しつつあった市場に飛び込んできた。ビットコイン (BTC)は木曜に8万350ドル近辺の局所安値まで下落した後、金曜のウォール街寄り付きで8万3,000ドルを回復し、直近24時間の清算額が10億ドルを超えるなか、現物価格はアスク側の流動性を突き抜けた。CoinGlassのデータによる。BTC/USDは週末終了時点で8万2,500ドル前後で取引されており、この水準は9月中旬以降支持線として機能し、潜在的な逆ヘッドアンドショルダー構図の中にある。Bitfinex Alpha(取引所の調査部門)は、10月14日に予定される新たな米インフレデータまで8万1,300〜8万6,500ドルのレンジ内もみ合いと、8万4,000ドルの反復テストを予想した。暗号資産市場はLedgerの報告を、市場インフラの問題ではなく個人保有者の損失としてほぼ受け流した。

追跡はオンチェーンへ移った。Onchain Lensの監視によると、約9,000万ドル規模のLedger関連窃取の犯行グループは、4つのウォレットを経由して430.2 ETH(約107万ドル)をTornado Cashへ送金した。Tetherが事件のアドレスに紐づくUSDTの凍結を開始した後、実行犯はSUN.ioとUSDD PSMの経路でUSDTをUSDDにスワップし、一部の資金はすでにBinanceのホットウォレットに届いている。Arkhamでタグ付けされた犯行グループに関連するアドレスはなお約7,060万ドルを保有しており、内訳は11,406 ETH(約2,835万ドル)、213.371 BTC(約1,765万ドル)、1,364.6万USDD、1,090.9万USDT。別途、追跡した損失総額を約9,000万ドルとしたMistTrackは、Tetherが流出先に接続する複数のアドレスのUSDTを凍結しており、影響を受けた一部の利用者が同社チームに支援を求めて連絡してきたと述べた。

取引所へ向かう資金の流れについて、より詳しい内訳が判明した。Onchain Lensの報告によると、Tornado Cashへ送られた430.2 ETHに加え、合計27万0,280ドルがBinanceへ送金された。内訳はUSDTが25万6,567ドル、TRXが約1万3,710ドルで、さらに同一合計に算入されるUSDTが2万2,390ドルあり、いずれもBinanceのホットウォレットに着し、資金はなお凍結可能な状態にある。一方、Mt. Goxの元最高経営責任者であるマーク・カルペレス(Mark Karpelès)は、デバイスの改ざんを可能な原因として挙げており、これはチャンペン・チャオ(Changpeng Zhao)の限定的サプライチェーン攻撃との見立てに次ぐ、2つ目の未確認の仮説だ。損失の総額表記も依然確定的ではない。tanuki42とSpecterの推計である7,200万ドルから8,600万ドルはブロックチェーン分析に基づくもので、Binance Newsで流通している9,000万ドルという数字は検証されておらず、両者の対象ウォレットは同一でない可能性がある。Ledgerは改ざんについていまだ何も確認していない。

SEALが被害者向けの連絡窓口を開設

被害額がどの程度の速さで膨らんだかを示す記録が残っている。アカウントtanuki42の投稿は12時00分(UTC)時点で合計7,200万ドル超としつつ、数字は増加中だと述べ、アドレス8件を列挙した。この8件はすべてSpecterの10件に含まれ、Specterの追跡はさらに2件のBitcoin (BTC)アドレスを上乗せした。業界対応組織のSecurity Alliance(SEAL)は12時29分(UTC)にこの一覧を引用投稿し、これらのアドレスへ資金を引き出された人はできるだけ早くSEAL 911のTelegramボット経由で連絡するよう呼びかけた。3件の投稿のいずれも、ウォレットがどうやって空にされているかを説明しておらず、これが事件の中心にある未知の部分だ。LedgerデバイスであれTangem Mobile Walletであれ、ハードウェアウォレットは秘密鍵がインターネット接続された端末に一切触れない、という前提の上に成り立つ。この規模の流出は、その前提のどこが破られたのかを突きつける問いになる。破綻点はデバイス本体なのか、流通や供給の工程なのか、署名体験を偽装した何かとやり取りした保有者側にあるのか。金曜に交差している仮説は、署名フローの侵害からリプレイ攻撃まで幅が広いが、SpecterもSEALもいずれも支持しておらず、技術的な検証報告はまだ存在しない。確認済みの事実はより狭い。受取アドレス、そこに計上された総額、そして24分の間隔で別々に作成された2つのリストの重なりだ。この重なり自体が、複数の無関係な事故ではなく単一のキャンペーンであることの証拠になる。被害者への指示は変わらない。SEAL 911に連絡し、取引記録を残せる限り保存し、列挙されたアドレスを資金の流れた地図として扱うことだ。

資金は数時間以内に次へ移送

オンチェーンの追跡を読み解くうえで最も示唆的なのは残高分の数字だと、私たちは見ている。奪われた8,600万ドル超のうち、10件のアドレスに最終確認時点で残っていたのは約2,500万ドルだけだ。略取額の大部分は駐留せず、すでに次の段階へ押し出されている。受取から再分配までが数時間単位で測れるこの速度は、実行犯が最初から発覚前提の事件として資金を扱っていたことを示す。アドレス一覧の公開はそれ自体では資金を取り戻せないが、取引所や監視部門にフラグ設定や凍結のための具体的な識別子を与える。この点は、最近のオンチェーン検証が公開鍵が露出した626万BTCを炙り出した経緯と同じ働きをする。検証報告が出れば、Bitcoin (BTC)関連の報道として追跡する。未解決のままだのは手口だ。確定しているのは損失額、3チェーン合計で8,600万ドル超という数字だけだ。