デジタル資産をめぐるセキュリティリスクが進化し続ける中、攻撃者はもはや取引プラットフォームやユーザーアカウントだけを標的にしているわけではありません。ハードウェアウォレットも、調達、配送、配達の過程で攻撃の侵入口となる可能性があります。
流通過程でデバイスが傍受、すり替え、または悪意を持って改変された場合、正規品と見分けがつかない外観であっても、ユーザーの資産セキュリティにリスクをもたらすおそれがあります。
Gateはすべてのユーザーに対し、ハードウェアウォレットを購入・使用する際は、ブランドや価格だけで判断しないよう注意を促します。デバイスの入手元、配送経路、その後のセキュリティチェックを確認することも同様に重要です。
I. ハードウェアサプライチェーンポイズニングとは？
ハードウェアサプライチェーンポイズニングとは、攻撃者がデバイスの製造、保管、輸送、流通、配達などの段階における脆弱性を悪用し、デバイスのすり替え、改ざん、または悪意のあるコンポーネントの埋め込みを行うことを指します。
例えば、ユーザーが正規のチャネルを通じてハードウェアウォレットを購入した場合でも、輸送中または再販時に第三者によってデバイスが傍受される可能性があります。攻撃者は、デバイスをユーザーに届ける前に、内部コンポーネントを改変したり、ファームウェアを改ざんしたり、パッケージや公式ドキュメントを偽造したりすることがあります。
一部の攻撃では、フィッシングの手法も用いられる可能性があります。攻撃者は、指定されたソフトウェアのインストール、QRコードのスキャン、またはウォレットの再インポートをユーザーに求める、いわゆるセキュリティ通知を送信することがあります。ユーザーが指示に従ってシードフレーズや秘密鍵を入力すると、資産が盗難被害に遭うおそれがあります。
Kraken Security Labsは、Ledger Nano Xハードウェアウォレットを標的としたサプライチェーン攻撃に関する調査を公表しており、輸送中の傍受や悪意のある再販チャネルを通じたユーザーへの到達など、ユーザーが受け取る前にデバイスが改ざんされる可能性があると指摘しています。記事の更新日時点で公開されている情報によると、Ledger Connect Kitのフロントエンド依存パッケージがサプライチェーン攻撃を受けました。影響が確認されたledgerhq/connect-kitのバージョンは、1.1.5、1.1.6、1.1.7です。これらのバージョンには、ユーザーがウォレットを接続したりDAppsと連携したりする際に、取引を誘導または置き換えるよう設計された悪意のあるコードが含まれており、資産の窃取につながるものでした。参考：サプライチェーンの異常からハードウェアへの埋め込み疑惑まで：Ledgerユーザー盗難事件の完全分析
パッケージが無傷であり、デバイスが正常に起動することは、必ずしもそのデバイスが安全であることを意味しない点に注意が必要です。一部の悪意ある改変は、外観検査だけでは特定が困難な場合があります。
II. ハードウェアサプライチェーン攻撃のリスクとは？
ハードウェアウォレットの主な機能は、ユーザーが秘密鍵を安全に保管し、取引に署名できるようにすることです。デバイス自体が改ざんされると、本来のセキュリティ保護機能が損なわれる可能性があります。
デバイスに埋め込まれた悪意のあるコンポーネント：悪意のあるコンポーネントや改ざんされたファームウェアは、デバイスの正常な動作を妨げ、情報漏えいや取引セキュリティ上の問題のリスクを高める可能性があります。
行動を誘導するなりすましソフトウェア：攻撃者は、偽のウォレット管理ソフトウェア、不正なアップグレード通知、または偽のカスタマーサポート案内を利用し、ユーザーをだましてシードフレーズや秘密鍵を自発的に開示させる可能性があります。
資産の管理権喪失：攻撃者が有効なシードフレーズまたは秘密鍵を取得すると、別のデバイスでウォレットを復元し、資産を送金する可能性があります。
ユーザーが取引プラットフォームのアカウントで二段階認証を有効にしていても、改ざんされたハードウェアデバイスや漏えいしたウォレット認証情報に起因するリスクを完全に防ぐことはできません。アカウントセキュリティ、デバイスセキュリティ、秘密鍵の管理は、それぞれ適切に維持する必要があり、互いに代替することはできません。
III. リスクを軽減するには？
信頼できるチャネルからデバイスを購入する
ハードウェアウォレットを購入する際は、可能な限りブランドの公式ウェブサイトまたは確認済みの正規販売チャネルを選択してください。入手元が不明なデバイス、明らかに異常な価格の製品、または販売者の資格を確認できない製品には注意してください。
使用前にデバイスを確認する
パッケージ、封印、シリアル番号、デバイスの外観に異常の兆候がないか確認し、メーカーの公式チャネルを通じてデバイス情報を検証してください。初めてデバイスを使用する際は、公式の手順に従って初期化とファームウェア検証を完了してください。すでにデバイスが初期化されている、検証に失敗する、またはプロセスに異常が見られる場合は、資産を急いでインポートしないでください。
シードフレーズと秘密鍵を保護する
シードフレーズと秘密鍵は、ウォレット内の資産を管理するための重要な情報です。チャット、メール、ウェブページ、またはリモートアシスタンスを通じて、誰かがこれらの情報の提供を求めることはありません。
相手がGateのカスタマーサポート、ハードウェアメーカー、またはセキュリティ担当者を名乗っていても、シードフレーズや秘密鍵を求める要求を信頼しないでください。また、入手元が不明なウェブサイトやソフトウェアにシードフレーズを入力してはいけません。
安易にソフトウェアをインストールしたり、ファームウェアを更新したりしない
デバイス接続、ソフトウェアのインストール、ファームウェアのアップグレードについては、メーカーの公式チャネルを通じて提供される情報を利用してください。見慣れないリンク、QRコード、非公式のアップグレードパッケージ、または緊急の資産移行を求める通知については、まず真正性を確認してください。アカウントが危険にさらされていると誰かが主張したからといって、急いで行動しないでください。
異常を検知した場合は、直ちにデバイスの使用を中止する
デバイスに分解または改変の兆候がある、ファームウェア検証に失敗する、または初期化に異常がある場合は、使用を中止し、メーカーの公式サポートチャネルに連絡して状況を確認してください。
シードフレーズまたは秘密鍵が侵害された疑いがある場合は、信頼できる影響を受けていないデバイスを使用し、安全な環境で新しいウォレットを作成して、できるだけ早く資産を安全なアドレスへ送金してください。改ざんされた可能性があるデバイスで資産の管理を続けたり、侵害された疑いのあるデバイスに新しいウォレット認証情報を入力したりしないでください。
IV. Gateセキュリティリマインダー
ハードウェアサプライチェーン攻撃は非常に秘匿性が高く、デバイスを受け取る前からリスクが生じる可能性があります。そのため、ブランドラベル、無傷のパッケージ、または正常に起動することだけを理由に、デバイスが完全に安全だと判断してはいけません。
Gateは、ハードウェアウォレットを購入・使用する際にデバイスの入手元を慎重に確認し、見慣れない通知には注意して対処し、シードフレーズと秘密鍵を適切に保護するようユーザーに呼びかけています。デバイス、ソフトウェアアプリケーション、または操作案内の真正性を確認できない場合は、行動する前にまず確認してください。
以下を必ず覚えておいてください：信頼できる入手元からデバイスを取得し、ソフトウェア更新を確認し、シードフレーズや秘密鍵を決して開示しないこと。
これらの基本的なセキュリティ対策を実践することで、ハードウェアサプライチェーン攻撃に伴う資産リスクをより効果的に軽減できます。
免責事項
本コンテンツは参考および教育目的のみであり、金融、投資、取引、または法律に関する助言を構成するものではなく、いかなるデジタル資産の売買の申込みまたは勧誘を構成するものでもありません。Gateは、本コンテンツに含まれる情報の正確性、完全性、適時性について、明示または黙示のいかなる表明または保証も行いません。商品機能、インターフェース、ルール、手数料体系は、いつでも更新または調整される場合があります。最も正確な詳細については、最新のお知らせおよびGateプラットフォーム上に表示される実際の情報をご参照ください。
デジタル資産への投資には重大なリスクが伴い、価格は大幅に変動する可能性があります。投資額の全額を失う可能性があります。関連するリスクを十分に理解したうえで、ご自身の財務状況とリスク許容度に基づき、慎重に判断してください。必要に応じて、独立した専門の金融または法律アドバイザーへ相談することを推奨します。
想定されるリスクの詳細については、Gateのリスク開示およびユーザー契約をご参照ください。
