Ledgerは2026年10月15日、認定小売業者に対して新しいセキュリティ要件を発表しました。以前、攻撃者が本物の暗号資産ウォレットに隠された電子部品を設置し、ユーザーのリカバリーフレーズを盗み取り、資金を奪っていました。
Ledgerは、犯罪者が正規のハードウェアウォレットを改ざんして暗号通貨を盗んだ後、リセラー規則を強化した。
- 隠された悪意のあるプログラムは、デバイスの設定中にウォレットの回復フレーズを収集し、セルラー通信を通じて機密情報を送信します。
- Ledgerは、影響を受けたデバイスを調査している間、東南アジアおよび香港での認定リセラー販売を一時停止しました。
- セキュリティチームは小売および倉庫機器を点検し、サンプル検査の結果、影響を受けた機器は見つからなかったと報告しました。
- Ledgerは小売業者に対して、ウォレットの展示を停止し、返品された機器の無条件での転売を禁止するよう要請しました。
このハードウェアウォレットメーカーは、攻撃者が合法的なデバイスを購入し、改変した後、東南アジアの流通チャネルを通じて市場に再投入したことを確認しました。Ledgerはこの地域での転売を一時停止し、小売店および倉庫から供給されたデバイスを点検し、盗難資金の追跡のために执法機関と協力し始めました。
同社は、内部システム、操作ソフトウェア、セキュリティチップいずれも侵入されていないと述べています。調査員は、改ざんされたデバイスがどのように市場に流入したかを含め、今回の攻撃の全体的な範囲を引き続き確認しています。
Ledgerウォレットの攻撃は、隠されたリカバリーフレーズのインジェクションを含む
Ledgerの調査によると、攻撃者はこの作戦を数ヶ月にわたり準備していた。彼らは正規のハードウェアウォレットを購入し、デバイスを分解して、復元フレーズを設定中に取得するためのカスタム電子部品を挿入した。
リカバリー文は通常24語で構成され、ユーザーはこれにより暗号通貨ウォレットへのアクセスを復元できます。これらの単語を入手した人物は、別のデバイス上でそのウォレットを再作成し、資産を移転する可能性があります。
攻撃者は、回復短語がデバイスの画面に表示される瞬間を狙います。隠されたコンポーネントがこれらの単語を収集し、犯罪者によって制御されるインフラストラクチャに送信します。
10月13日の技術更新において、LedgerのDonjonセキュリティチームは、このマルウェアがマイクロコントローラーを使用してフレーズを読み取り、組み込みSIMカードを通じてLTEセルラー接続で情報を送信すると説明しました。
同社は、このインプラントが機密な暗号情報を保護するSecure Elementとは独立して動作すると述べています。調査員は、悪意のあるコンポーネントがオペレーティングシステムを変更したり、トランザクションの署名を改ざんしたりした証拠は見つけていません。
以前のLedgerウォレットに隠されたチップに関する調査では、無許可の電子部品がデバイスの通常の署名機能を変更せずにリカバリー文を暴露する方法が記録されました。
Ledgerの最新声明では、これをデバイスの調達、販売ネットワーク、および盗まれたウォレット認証情報を収集するためのインフラを含む組織的な犯罪行為と説明しています。
この製造業者は、この攻撃に数百万ドルが費やされたと述べたが、財務の内訳を提供せず、関係者を特定しなかった。
報告によると、攻撃者は収集した回復短語を用いて、10月9日の協調的な盗難行動で複数のウォレットにアクセスしました。
独立ブロックチェーン調査員は損失が8600万ドルを超えると推定しているが、Ledgerは盗まれた総額や影響を受けた顧客数をまだ確認していない。
Ledger、東南アジア地域でのウォレット販売を一時停止
問題が発見された後、Ledgerは、影響を受けた流通チャネルが調査されるまで、東南アジアおよび香港の認定ディーラーおよびディストリビューターに対してデバイスの販売を停止するよう要請しました。
制限地域にはインドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港が含まれます。
東南アジアの転売業者CryptoBilisは、機器の改ざんに関与した事例と以前から関連付けられていました。
顧客から資金損失の報告があった後、同社はハードウェアウォレットの販売を一時停止しました。
以前のCryptoBilisウォレット調査に関する報道では、Ledgerが不正なインストールを発見し、顧客からの苦情に対して初期に対応したことが記録されています。
他の場所に関する報告を受けた後、Ledgerは予防措置をその転売業者以外にも拡大しました。
ドイツのMediaMarkt Saturnは、顧客のデバイスにインプラントが存在すると報告された後、実店舗およびオンラインプラットフォームでのLedgerデバイスの販売を停止しました。
Ledgerは、ドイツの事例により確認された顧客資金の損失は発生していないことを示しています。
この事件により、ドイツでのLedgerウォレットの販売も個別に一時停止され、同社はデバイスを点検し、関連状況を調査しています。
10月15日の更新で、Ledgerは調査員がドイツを含む複数の市場の店舗からデバイスを購入し、物理的な検査のために分解したと述べました。
会社は倉庫のサンプルを確認し、自社在庫の一部をスクリーニングしました。
Ledgerは、これらのチェックで抽出されたサンプルに無許可のコンポーネントは見つからなかったと述べています。
ただし、同社は点検した機器の数を公表していないため、影響を受ける可能性のある製品の総数は未確認です。
Ledgerはこのイベントを「局所的ディストリビューション攻撃」と説明し、自社の製造システムが今回の被害の原因ではないと主張しています。
影響を受けた各デバイスが具体的にどこで改変されたかは、まだ正確には特定されていません。
Ledger、ハードウェアウォレット小売業者向けに新規則を導入
対策の一環として、Ledgerは認定小売業者にハードウェアウォレットの保管および販売方法の変更を要請しました。
小売業者は、Ledgerデバイスをショーケースやカウンターに陳列することを停止しなければなりません。代わりに、製品は倉庫エリアに保管し、購入が発生した場合にのみ顧客に渡す必要があります。
同社は、これらの要件が即日適用され、機器への不正アクセスの機会を減らすことを目的としていると述べています。
Ledgerはまた、認定販売店に対して、パッケージが未開封に見えたり、製品が未使用に見えたりしても、返品された機器を再販してはならないことを警告しています。
このルールは既に存在していましたが、Ledgerはディストリビューターに例外なく実行を要請しました。
小売業者は、顧客が異常な製品や疑わしいハードウェアを報告した場合、速やかに製造元に通知しなければなりません。
調査が進むにつれて、会社は認可された販売ネットワークへの監督を強化しています。
Ledgerは、そのセキュリティチームが会社史上最大規模の内部調査を複数の部門を動員して実施したと発表しました。
Ledger Donjonの専門家が回収されたインプラントを分解し、その動作を検査して、攻撃者がリカバリーフレーズを収集した方法を特定しました。
製造元は調査期間中、SEAL_911を含むセキュリティ研究者および業界パートナーと協力しました。
Ledgerは、チームが执法機関と協力して盗まれた資金を追跡し、ウォレットの資格情報を収集するために使用されたインフラを特定していることを示しています。
会社は関連する逮捕、正式な刑事告訴、または資金の回収について開示していません。
Ledgerは、調査員が結果を安全に開示できるようになった時点で、より多くの技術情報を公開する予定であると述べています。
Ledgerはウォレットの改ざんに対するさらなる保護を計画しています。
現在の小売制限に加えて、Ledgerは物理的な改ざんをより困難にするための追加の製品セキュリティ対策を開発中です。
当社は、技術仕様、影響を受ける製品モデル、またはこれらの対策を導入するタイムラインをまだ提供していません。
Ledgerは、類似のリスクを自社製品で検証できるよう、他のハードウェアウォレットメーカーおよび販売業者と調査結果を共有します。
このメーカーは以前、CryptoBilisを通じて機器を購入した顧客に対して、公式サポートに連絡する前に機器を初期化しないよう警告していました。
既に影響の可能性のあるウォレットを使用してきた顧客に対して、同社は暗号通貨を信頼できるデバイスに移転し、新しい復元フレーズを生成することを推奨しています。
攻撃者が古いリカバリー文を既に取得している場合、新しいデバイスで古い文を復元しても資金は安全ではありません。
Ledgerのセキュリティガイドラインは、顧客がサポートを名乗る誰に対してもリカバリー文を教えないよう注意を促しています。
同社は、従業員がメッセージ、電話、またはウェブサイトを通じてリカバリーワードを要求することはないとしています。
10月15日の公告で、Ledgerは調査が継続中であり、さらなるセキュリティ対策が必要であることを認めた。
製造元は、調査が情報開示を許可した時点で、この攻撃および犯罪者が使用した手法に関する詳細を公開すると再確認しました。