Trezorの情報漏洩拡大、さらに6万7,000人分のBitcoin (BTC)ウォレット購入者データが流出

米国顧客さらに6万7,000人分が流出

ハードウェアウォレット大手のTrezorは金曜日、配送委託先ShipMonkで発生した情報漏洩に、米国の顧客さらに6万7,000人分が巻き込まれたと明らかにした。先月最初に判明した事故が大幅に拡大した形だ。X上に投稿された公式声明によれば、今回新たに特定された記録は2019年11月から2021年8月までに受けた注文に由来し、流出データの中には発から約7年が経過したファイルも含まれる。各影響顧客の氏名、メールアドレス、電話番号、配送先住所、注文内容が丸ごと露出した。拡大が判明したのは2日前で、ShipMonkが自社調査の結果をTrezor側に伝えたことで発覚した。Trezorは、契約およびデータポリシーの義務に基づき、こうした記録が削除済みであるとの書面による確認を繰り返し受け取っていたと説明し、委託先が最後まで履行しなかったことに失望を示した。なお、Trezor自身のシステムは侵入されておらず、デバイスのファームウェア、秘密鍵、ウォレットのバックアップは、保有資産がBitcoin (BTC)であれ、Ethereum (ETH)やZcash (ZEC)のような資産であれ、一切影響を受けていない。とはいえ、漏洩のリスクは現実だ。流出データセットは「特定の住所に届くハードウェアウォレットの実所有者」を特定できるため、攻撃者にはTrezorサポートを装うフィッシング攻撃の厳選された標的リストを手渡すことになる。彼らの狙いは、ウォレットを支配するシードフレーズ(リカバリーフレーズ)の引き渡しを被害者に思い込ませることだ。8月の初回公表時、Trezorは影響ユーザーを約1万4,000人と推計していた。別途、2024年1月には、2021年12月以降にサポートに連絡したユーザーのうち約6万6,000人がフィッシングのリスクにさらされていると警告していた。今回の公表により、この配送委託先事故に紐づく合計は約8万700人に達し、初回公表時の1万3,689人から大幅に増加した。

公式声明https://x.com/Trezor/status/2095807665603584085

漏洩の原因はMetabaseの脆弱性

侵入の起点となったのは、企業向け分析ツールMetabaseのSQLインジェクション脆弱性(クリティカル評価)で、8月6日に公開されたものだ。この欠陥により、認証なしの攻撃者がプラットフォームに接続されたデータベースの認証情報を盗めた。同じ攻撃の波は、ノートPCメーカーのFrameworkやフォームビルダーのTallyも飲み込んだ。ShipMonkには、ShinyHuntersグループのものとされる脅迫メールが届いたと報じられているが、この帰属は未確認のままだ。今回の一件は、氏名・住所・電話番号・購入履歴といった顧客データの中央集権型データベース——消費者が購入手続きでVisa (V)のようなカードネットワークに預けるのと同種の個人情報——が単一障害点になりやすい一方、Filecoin (FIL)のような分散型ストレージネットワークがまさにその構造を回避するよう設計されていることを改めて浮き彫りにした。攻撃者がハードウェアウォレット関連データをどう悪用するかは、すでに具体例が示されている。2月には、Trezorと競合のLedger両方の所有者のもとへ、ホログラム、QRコード、役員の偽署名付きの偽造文書が郵送され、「セキュリティチェック」の実行を拒めばウォレットにアクセスできなくなると迫った。セキュリティ研究者の間では、盗まれた個人情報は長年にわたり悪用可能とされる——人は頻繁に引っ越しも電話番号の変更もしないからだ。氏名と住所を知る手紙は「お宅を突き止められる」というメッセージを痛烈に伝える。なりすまし詐欺はコードの欠陥ではなく人間の信頼を突くもので、その損失は測定可能だ。ブロックチェーンセキュリティ企業Hackenの集計では、第1四半期の業界全体の損失4億8,200万ドルのうち3億600万ドルがこうした詐欺によるもので、7月にはEthereum上で悪意のあるトークン承認トランザクションに署名した一人の投資家が約100万ドルを失った。Trezorは現在、匿名配送の提供を急いでいる。ロッカー受け取り、無地の梱包、発送者情報の一般化により、購入者がそもそも住所を配送業者に渡さずに済む仕組みだ。 市場をリアルタイムで追いたい読者は、MEXCで現物・先物価格をライブで確認できる。

最後の防衛線はシードフレーズ

当メディアが確認したTrezorの公式X投稿は、漏洩の影響が当初の想定より広いこと——2019〜2021年の注文期間に該当する米国購入者6万7,000人分の追加——を明確に述べている。当メディアの読み解きとしては、配送メタデータの流出は秘密鍵そのものには及ばないものの、コールドウォレット保有者をフィッシングの優先標的へと変えてしまう点が本質的な脅威だ。防御策は昔も今も変わらない。すべての連絡経路を検証し、リカバリーフレーズをいかなるWebサイトにも入力しない、そして要請のない「セキュリティ」確認は、安全が確認できるまで敵対的なものとして扱うことである。