セキュリティ研究者のTaylor Monahan氏、Ledger関連の新たな被害報告は焦りを突く詐欺が原因と分析

デバイス本体の抜き取りではなく、焦りを狙う詐欺

セキュリティ研究者のTaylor Monahan氏は、ここ数日で同氏のもとに寄せられたLedger関連の資産流出報告を検証した結果、問題の不正部品そのものではなく、動揺した所有者を狙った詐欺に行き着いたと述べた。同氏が共同ホストを務めるポッドキャスト「Uneasy Money」の10月14日放送での発言による。リセラーのCryptoBilisが販売したウォレットから見つかった携帯通信モジュールに起因するドレイン被害ではなく、直近で相談に来た事例は詐欺だったという。同氏はこの1週間、被害報告の収集を続け、Ledger本体と直接連携して対応しており、別のハードウェアウォレットメーカーであるTrezorからも支援を受けた。ただし事例数は公表していない。同氏が挙げた被害経路は次の通りだ。Ledger Liveをインストールしようと検索した際に表示される偽のGoogle広告、偽アプリ、フィッシングサイト、所有者を怖がらせる趣旨のメール、そして被害者への直接電話。Ledger Liveは口座管理用の公式コンパニオンアプリであり、だからこそ検索結果は広告詐欺の格好の標的になり続ける。同氏いわく、これらの経路はどれも、人が焦るだけで本来の窃取の上にさらなる損失を積み上げるものであり、恐怖が駆動するFOMO買いの鏡像だ。助言は端的で、焦るな、というもの。重要なのは、これらの経路はいずれもデバイスへの物理的アクセスを必要としない点で、ここが不正部品の事例との分水嶺になる。同氏が確認した被害デバイスは、6月から10月上旬にかけて購入されていたという。なおMonahan氏自身は今もLedgerとTrezorを使い続ける方針で、購入先の見極めを厳格化しつつ、保有資産を多数のデバイス、複数の場所、紙バックアップに分散し、単一の故障で全滅しない構成を維持するという。共同ホストのAustin Griffith氏は、マルチシグ構成を一つの代替策として挙げた。ハードウェアウォレットを複数の署名者のうちの一つに据える構成で、漏えいや紛失時にはその署名者だけを差し替えられる。

被害総額1億200万ドルのCryptoBilis不正部品事件

事件そのものの全体像は、まだ部分的にしか定量化されていない。Ledgerは10月13日、CryptoBilis製ウォレット内部に隠された不正部品が、デバイス画面に表示された24単語のLedger Recovery Keyを読み取り、携帯通信回線経由で外部に送信していたと発表した。リカバリーフレーズはウォレットの完全なマスターキーであり、24単語を握った者は口座を再構築し、中の全資産を動かせる。同社の説明では、確認済みの被害はすべてCryptoBilis経由で販売されたデバイスに限られ、直販店で買ったものは含まれない。全体の損害額や、不正部品を搭載した台数は依然として確認されていない。オンチェーンデータを分析するBitqueryの集計では、324のウォレットから計1億200万ドルが流出した。ただしこれは調査者の算出値であり、Ledgerが検証した総額ではない。模倣犯の動きも始まっている。ブロックチェーンセキュリティ企業のSlowMistは10月16日、この事件を餌にLedgerのファームウェア更新を装うフィッシングキャンペーンが回っていると警告した。この警告はMonahan氏が扱った事例とは別系統で、双方は関連を主張していない。SlowMistの警告は、Ledgerのサポート投稿の2日後に出た。さらに9月には、セキュリティ企業ZscalerのThreatLabzが、偽のGoogle広告でLedgerユーザーをリカバリーフレーズを窃取する偽ページへ誘導する別の攻撃を記録しており、こちらも同氏の事例との関連は報告されていない。Ledgerのサポートチームは10月14日のXへの投稿で線引きを示した。当社が顧客に電話をかけることはなく、ダイレクトメッセージを送ることも、24単語のフレーズを求めることも決してない、という一文だ。

@SlowMist_Team · Xの投稿

警告した.

Xで見る

一つの侵害、二層の被害構造

二つの記録を並べると、被害が二層で積み上がる構図が見える。第一層は不正部品を搭載したデバイスからの直接流出、第二層は第一層が生んだ恐怖を餌にする二次的な窃取である。第一の記録には still 会社確認済みの総額が存在しない。1億200万ドルという数字はBitqueryの集計であり、Ledgerが検証済みなのは、確認済み被害がすべてCryptoBilisでの購入に遡るという点のみだ。同社の検証が完了するまで、実務上の防御策は変わらない。リカバリーフレーズを求める電話、メッセージ、広告はすべて攻撃として扱うこと。ハードウェアは必ず直販チャネルで購入すること。そしてマルチシグを導入するか、Tangem Mobile Walletのような追加デバイスを組み合わせ、署名者の単一障害で資産が失われない構成にしておくこと。当ガイドの回避すべき暗号資産詐欺まとめでは、こうした危険信号を詳細に解説している。