約9100万ドルが一気に持ち去られた。203枚のBTCが同じブロック内で2つのアドレスに送られ、その同じ時間帯に、Polygon上で約5800万ドル分のUSDTが移動した。 これらの資金は、Ledgerハードウェアウォレットの一括から流出したもので、ユーザーが起動した日にすでに秘密の復元フレーズが送信されていた。 マレーシアで購入されたLedgerデバイスを分解したところ、画面の下にeSIMを搭載した小さな基板が追加されていた。 @MagicalTuxは10月8日に分解写真を公開した。その小さな基板にはLTEモジュールがはんだ付けされており、普段は何も行わず、画面を監視し続けている。ユーザーが起動してアクティベーションを行い、24語の復元フレーズを一つずつ書き写す瞬間、そのフレーズは既にモバイルネットワークを通じて送信されていた。 Ledger Liveの公式認証機能では検出できず、デバイス内のLedgerチップは本物だが、不正な部品は画面の下に隠されている。私はその写真を拡大して長時間確認したが、はんだ付けの品質は工場製品のように整っており、素人の手作業とは思えない。 マレーシアには、CryptoBilisというハードウェアウォレットを販売する店舗がある。 Ledger公式サイトは少なくとも2022年から、同社をマレーシア、インドネシア、フィリピンにおける公式販売代理店として掲載していた。正規の店舗であり、本物の製品を販売し、長年にわたり誠実に事業を運営してきた。 しかし今年3月、創業チームは会社全体を売却した。 取引には非開示契約が付随し、元株主は10月19日まで会社の譲渡を公に発表することが禁じられていた。今年8月までに、会社登記情報には100％の株式を保有する一人の人物「Jiaming」のみが記載され、登録住所は黒竜江省だった。店舗は営業を継続し、ウェブサイトもそのまま維持され、ドメインは変更されておらず、「Ledger公式認証」の看板も元の場所に掲げられたままだった。元共同創設者は後に、旧チームは会社のバックエンドにもアクセスできなくなったと語っている。 その後、10月8日に分解写真の投稿がされ、12万回以上の閲覧を記録した。 投稿から22時間後、復元フレーズを手に入れた人物がすべての資金を回収した。 送金完了後さらに約7時間経過してから、Ledgerは調査中であると発表し、CryptoBilisに対して販売と出荷の一時停止を求めた。昨日、Ledgerは被害者のデバイスに不正なハードウェアが埋め込まれていたことを確認した。 現在までに、新株主と改ざんされたデバイスとの直接的な関連は正式に立証されておらず、Ledgerもこれらの基板がどのようにしてデバイスに組み込まれたのかを明かしていない。しかし、この手口は明らかだ：セキュリティチップをクラックしたり、ファームウェアを解析したりする代わりに、すでに公式認証を得た看板を購入し、他者が3年間築き上げた信頼を利用して製品を出荷する。デバイス自体が自発的に通信し、分解投稿が公開された瞬間に一斉に資金を引き出す。 「公式販売代理店」という看板は、2022年にこの店舗を開いた当初のチームを指していた。会社は3月に経営者が変わったが、看板はそのまま掲げられたままであり、今日まで誰もその看板の所有者が変わったことを再確認していない。