Ledgerウォレットが大規模に盗難!
10月9日、東南アジアの販売業者CryptoBilisが販売したLedgerデバイスに関連するウォレットが空にされ、オンチェーンで推定される被害額は8600万〜9300万ドルを超えた(300以上のウォレットが関与し、主にTRON)。
犯人は、画面の裏側に、本来は緩衝材を置く位置にスパイチップを隠し、画面に表示されたリカバリーフレーズをSPIバスの監視によって盗み出し、LTE経由で送信していた。
この盗難方法はほとんど発見が困難で、Ledgerのファームウェアを変更せず、セキュリティチップにも触れない。
• デバイスの起動時セルフチェックやGenuine Checkは通常どおり通過できる。
• 埋め込まれた装置は、画面の裏側に本来は緩衝材を置く位置に隠されており、外観からはほとんど分からない。
最近のbg盗難事件と合わせて考えると、暗号資産を中央集権型取引所や物理的なファームウェアに保管しても、必ずしも絶対に安全とは限らない。ただし、プラットフォームで問題が起きた場合は責任を負ってくれる一方、今回の損失は取り戻すのが非常に難しいとみられるため、卵は一つのかごにすべて入れないほうがよい。