レジャーは、購入者の資金流出報告を受けて、東南アジアの販売代理店に対しハードウェアウォレットの販売停止を要請した。オンチェーン調査者がレジャー関連の推定損失額を8600万ドル超と公表した約1時間後の措置である。
レジャーは現時点でこの損失額を認めておらず、端末の改ざん有無についても明言していない。警告は東南アジアの特定代理店からの直近購入者に限定される。
CryptoBilis購入者へのレジャーの対応
ハードウェアウォレットは、ユーザーの暗号資産秘密鍵をオフラインで管理する小型端末。レジャーは世界的に知られるメーカーの1社である。
レジャーサポートは金曜日、販売業者をCryptoBilisと名指しした。同業者は2020年設立のマレーシアのショップで、暗号資産関連商品やレジャー端末を販売する。インドネシアおよびフィリピンでも事業展開している。
レジャーは過去90日間に同店で端末を購入した全ユーザーに、設定の実施を控えるよう促した。すでに初期設定した場合は、新たなシードフレーズを用いた新端末への資金移動を推奨した。シードフレーズはウォレットを管理する24個のバックアップ用単語である。
「予防措置として、調査結果が判明するまで、CryptoBilisに全レジャー端末の販売・出荷停止を要請した」とレジャーサポート 述べた。
8600万ドル損失報告の根拠
損失額は、オンチェーン調査者Specterの分析による。Specterは、イーサリアム、トロン、ビットコイン上の被害者ウォレット数百件から流出した資金を追跡した。
mempool上の公開記録によると、Specterが指摘した3つのビットコインアドレスには合計約211BTCが保管されている。本稿執筆時点でこれらの資金は移動していない。
レジャーは8600万ドルという推定値を公式には認めていない。資金がどのように流出したかについても説明していない。
昨年8月以降2度目のハードウェアウォレット騒動
公式販売チャネル以外で流通する改ざん端末のリスクは以前から問題視されている。4月には、研究者が中国系マーケットで発見した偽レジャー端末がPINやシードフレーズを攻撃者に送信していたことが判明した。
また、8月には Coldcardファームウェアのバグにより、ビットコイン保有者が約7000万ドルを失った。Coldcardは競合するハードウェアウォレットである。
レジャーは、今後も調査進展について随時発信するとしている。CryptoBilis端末が消費者の手に渡る前に改ざんされていたかどうかは、現時点では明らかになっていない。
