セキュアエレメントは無事、ニーモニックが盗まれた：Ledgerサプライチェーン攻撃はいかにユーザーを狙い撃ちしたか

著者：谷昱、ChainCatcher

ある人物が、新しく買ったLedgerに80枚のビットコインを送金した。デバイスは正規販売店から購入し、ニーモニックは手書きで書き写し、金庫に保管していた。このビットコインが入金されたのは9月29日で、購入コストは約520万ドル、一時は138万ドルの含み益が出ていた。10月9日05:54（UTC）、80枚のBTCが1回の取引で全額送金された。

彼は教科書が求めるすべてのことを正しくやっていた。

同じ日の午前、XとRedditに同様の報告が相次ぎ始めた。あるユーザーのLedger Staxから約10万USDTが送金され、ニーモニックはやはり手書きで金庫に保管していたという。これらのユーザーに共通する点はただ一つ——デバイスがすべて東南アジアの販売店CryptoBilisから購入されたものだったことだ。

10月9日13:32（UTC）、Ledgerは調査中であることを確認し、CryptoBilisに対しすべてのLedgerデバイスの販売と発送を停止するよう要請した。90日以内にこの販売チャネルからデバイスを購入したユーザーは、まだ初期化していなければ初期化せず、すでに初期化済みなら直ちに新しいニーモニックで生成した新しいデバイスへ資産を移すよう呼びかけた。

一、被害規模は9000万ドル超か

被害がどれほどの規模なのか、現時点ではオンチェーンの推定しかない。

オンチェーン調査員のSpecterは12:24に最初に10個の集約アドレスを公表し、ビットコイン、イーサリアム、トロンをカバーして、被害額は8600万ドル超と推定した。別の調査員tanuki42はそのうち8つのアドレスを挙げ、7200万ドル超とした。SlowMist傘下のMistTrackは数字が「9000万ドルに近づいている」とし、Bitqueryは311個のウォレットをカバーして約9290万ドルと推定、内訳はイーサリアム約4200万ドル、ビットコイン約1760万ドル、USDT約1650万ドルだ。Arkhamはこれらのアドレスを「Ledger Theft」とラベル付けしており、金曜午後の時点でラベル付けされたアドレスには依然として約7150万ドルが残っており、最大のポジションは約2940万ドルのETH、1750万ドルのBTC、1360万ドルのUSDD、1080万ドルのUSDTだ。

総額よりも見るべきは被害者のプロフィールだ。Lookonchainのモニタリングによると、あるアドレスは3週間前にデバイスを購入した後700万USDTを入金し、報告の約10時間前に全額送金された。これは今回最大の単一被害かもしれない。別の3つのラベル付けされたビットコインアドレスは13:44（UTC）時点で合計約211枚のBTCを保有しており、その時点では一切の送金がなかった。Chain INKの統計によると、今回の事件には約98個のウォレットが関与し、平均は約89万ドルだ。

これは個人投資家が数百ドル失ったという話ではない。誰かが貯蓄を預け入れる、そういうウォレットの話だ。

これを今年の別の事件と並べてみると、総額よりも分布の違いのほうが多くを物語る。7月、Coldcardはファームウェアの乱数欠陥によりニーモニックが推測可能となり、被害額は約1.11億ドルだったが、5200以上のウォレットに分散しており、平均は約2.1万ドルだった。一方、CryptoBilisの事件は1日も経たずに第2位（約8700万ドル）に浮上したが、関与したウォレットは約98個のみで、平均は約89万ドルに近い。

**Coldcardの件は広く網を撒いたもので、今回は狙い撃ちだ。**この分布自体が「モジュール埋め込み」という推測を裏付けている。攻撃者は改造された各デバイスで生成されたニーモニックを把握しているため、待つことができる——金が入ってくるのを待ってから動き、しかも動く価値のあるものだけを狙う。Lookonchainがモニタリングした80枚のBTCは、デバイス内で10日間静かに眠った後、一括で送金された。

二、デバイスを分解して分かったこと：画面フレキケーブル上のマイクロコントローラ

Ledgerはまだ攻撃メカニズムを明らかにしていないが、すでにデバイスを分解した者がいる。

最も具体的な記述はMt.Goxの元CEO、Mark Karpelèsによるものだ。彼は自分が受け取ったデバイスがマレーシアから来たものだと述べた——Amazonで半額で出品され、注文した日本ではなくマレーシアから発送された。この発送元自体が最初の警告サインだった。分解すると、画面のスペーサーがあるべき位置に隠しモジュールを発見した。アンテナの単線、短縮されたバッテリー、または取り除かれた画面スペーサーによって空けられたスペース、eSIM付きのLTEモジュール、そしてデバイスのSPIバスに接続されたマイクロコントローラだ。

彼の判断はこうだ。このマイクロコントローラはLedgerが128×64画面で使用するフォントを認識でき、ニーモニック設定画面を特定し、ユーザーが書き写す際に1文字ずつ表示されるニーモニックをテキストとしてLTE経由で送信する。

SlowMistの最高情報セキュリティ責任者23pdsは対応する技術経路を示した。攻撃者はデバイス内部にマイクロコントローラを追加し、画面のSPIデータラインに接続する。ニーモニックはセキュアエレメント内で生成された後、ユーザーが書き写すために画面に表示されるが、悪意あるモジュールは画面が出力するすべての文字を同時に記録し、内蔵のLTEまたはeSIMを通じて外部へ送信する。彼は強調する。セキュアエレメントの役割は秘密鍵が直接読み取られたり書き出されたりするのを防ぐことであり、画面に何が表示されているかまでは管理できない——ニーモニックが画面に現れるその数秒間こそが、攻撃の窓なのだ。

これは事件全体で最も直感に反する点を説明している。**これらのデバイスはLedgerの真正性チェックを通過できる。**なぜならセキュアエレメントは本物であり、確かに正しくニーモニックを生成し、確かに正常に署名する。ただ「見られている」だけだ。ファームウェアも検知できない。埋め込まれたモジュールは画面がリフレッシュされる時だけ傍受するからだ。つまり、唯一の検知方法は——デバイスを分解することだ。

ほかにも2つの可能性が同様に存在する。1つはニーモニックの事前設定——攻撃者が事前に電源を入れ、設定し、書き写し、再梱包する。ユーザーは「新しいデバイスを設定している」と思い込むが、実際に使っているのは相手がすでに把握しているニーモニックだ。もう1つはフィッシングだ。開発者の0xQuitは、被害者の一部はフィッシングでやられた可能性があるとし、直接「Ledgerがハッキングされた」と言うのは無責任だと述べている。

三、「正規販売店」が保証するのは販売資格であって、サプライチェーンではない

CryptoBilisは場末の店ではない。

2020年にクアラルンプールで設立され、Ledgerの公式サイトの販売店ページに白黒はっきりと記載された正規販売店であり、マレーシア、インドネシア、フィリピンをカバーし、Ledger以外にもTrezor、OneKey、Tangem、SafePalを販売している。

問題はまさにここにある。ユーザーは業界が教え込んだ安全基準に従っている。公式サイトの直送が買えなければ、「正規販売店」を探す。**しかし正規販売店が保証するのはその会社の販売資格であって、倉庫にある各デバイスの完全性でも、仕分けに携わる各従業員でもない。**デバイスは工場を出て、物流を通り、倉庫を経て、仕分けされ、販売店に届き、さらに玄関先まで運ばれる。このチェーンのどの段階でも傍受され、分解され、復元されうる——Karpelèsのデバイスのシュリンクフィルムは無傷だった。

デバイスがLedgerの管理下を離れた瞬間、「正規」の二文字はもはやいかなる物理的保証も提供しない。

さらに微妙なのはタイムラインだ。新たに開示された会社記録によると、CryptoBilisは今年3月に買収され、登記住所が中国黒竜江省にある「佳銘」という人物が8月3日から会社の株式100%を保有している。元共同創業者は3月の買収を確認し、元株主はその後すべての運営・管理・行政職務から退き、引き継ぎ後は会社の実際の運営を把握できなくなったと述べ、現経営陣に透明な対応を求めた。深潮TechFlowの報道によると、買収側と元幹部が締結した秘密保持契約が取引詳細の開示を制限しており、有効期限は10月19日まで——事件が10月9日に発生した時点で、元幹部は法的にまだ買収の詳細を自由に話すことができなかった。

現時点で、株式変更とデバイス盗難の関連を示す確実な証拠はない。 Ledgerも販売停止を命じただけで、いかなる告発も行っていない。

10月10日、CryptoBilisはマレーシア、フィリピン、インドネシアの全店舗およびオンラインチャネルにおける各ブランドのハードウェアウォレットの販売と発送を停止すると発表し、ユーザーに注意を促した。ニーモニックは必ずデバイスが初期化時に自ら生成し、ユーザーが自らの手で書き写すべきであり、デバイスに印刷済みまたは書き込み済みのニーモニックカードが付属している場合は安全でないとみなすべきだ、と。

そしてCryptoBilisは今年問題が起きた唯一のチャネルでもない。9月、Trezorは物流委託先のShipMonkが侵入され、約8.1万人の米国顧客の実名、電話番号、自宅住所が流出したことを認めた。今年1月には、Ledgerが決済処理業者Global-eで一部の公式サイト購入者の氏名と連絡先が流出したことを開示した。これらの事件自体は直接資産を失わせるものではないが、「誰がいつハードウェアウォレットを受け取ったか」というリストを、何度も攻撃者の手に渡してきた。

この3か月で、コールドストレージの最も脆弱な部分はコードから物流へと移った。

四、追跡、自救、そして最も安上がりなアドバイス

追跡の窓は閉じつつある。

MistTrackによると、Tetherは関連アドレスで大量のUSDTを凍結した。攻撃者はすぐにUSDTをUSDD——Tetherが凍結できないトロンのステーブルコイン——へ交換し始めた。Onchain Lensによると、すでに430.2 ETH（約107万ドル）が4つのウォレットを通じてTornado Cashに入った。ビットコインとイーサリアムには凍結スイッチがなく、資金が一度離れれば、残る関門は取引所だけだ。

SlowMistとSecurity Allianceは支援窓口を開設しており、後者は資金が関連アドレスに送金されたユーザーに対し、SEAL 911緊急対応チームへの連絡を呼びかけている。

業界が示したアドバイスの中で最も実用的なのはCZのものだ。彼はこれを「特定の販売店に限定されたサプライチェーン攻撃」と判断しつつ、具体的な行動に落とし込んだ案を示した。

「ハードウェアウォレットを買った（または新しいソフトウェアウォレットをダウンロードした）後、まず数週間置いてから、意味のある金額を送金しなさい。この数週間は関連ニュースを継続的にフォローすること……ハードウェアは改造されているかもしれないし、ソフトウェアの公式サイトも攻撃されているかもしれない。セルフカストディは追加の責任を意味する。」

この「隔離期間」のロジックは技術的なものではなく、情報的なものだ。もしあるロットのデバイスが販売店に届けられた時点ですでに細工されていたなら、オンチェーンアナリストが最初の盗難を発見して警報を出すまでに時間がかかる——この2週間こそ、自分のために時間を買うことなのだ。

しかしこの事件が本当に書き換えたのは、「セルフカストディ」という言葉の境界だ。

過去10年、業界はセルフカストディの安全に関する物語をほぼすべて暗号学とハードウェアの上に築いてきた。セキュアエレメント、EAL5+、PIN消去、オープンソース監査。これらはどれも破られていない。破られたのは工場からあなたの玄関先までの道のり——物流業者、倉庫、販売店、配送員で構成され、どの段階もユーザーが検証できない道のりだ。

ハードウェアウォレットが約束するのは「秘密鍵は決してデバイスから出ない」ことだ。今回の皮肉は、秘密鍵は確かに一度もデバイスから出なかった——ただ、ユーザーに見せるために表示された数秒間に、誰かに一目見られただけだ、という点にある。

そして安全境界がチップから玄関先の宅配便へと広がったとき、ユーザーに最後に残された防衛線は、本当にこれだけかもしれない。急いで金を入れないこと。