暗号資産向けハードウェアウォレット大手のTrezorは、製品を取り扱う正規販売店を削減し、サプライチェーンのセキュリティー対策を強化する方針を明らかにした。
競合するLedgerのウォレットが第三者販売店を通じてスパイウェアを仕込まれ、利用者の暗号資産が盗まれる被害が報告されたことを受けた措置だ。
Ledgerのセキュリティ事件、暗号資産ウォレット業界を揺るがす
ライバルであるLedgerは、東南アジアの再販業者CryptoBilisを通じて販売されたデバイスに、隠しインプラントが仕込まれていたことを認めている。
Ledgerのセキュリティチームによると、そのインプラントはデバイス設定時に画面上に表示される24単語のリカバリーフレーズを読み取り、これはウォレットのマスターキーとなる。このチップは、その情報をセルラー通信で外部へ送信するという。詳細は同社の最新のインプラント情報で明らかにしている。
Bitqueryのオンチェーン研究者は、被害想定額が9300万ドルを超えるとの推計を示している。Ledgerは被害総額を公表していない。
Ledgerは、確認済みのすべての事例がCryptoBilisに関連しているとしている。一方、ユーザーからはヨーロッパにも改ざんデバイスが流通したとの声が上がっているが、Ledgerはこれを認めていない。
Trezorウォレットデバイスの安全性は？
TrezorはLedgerの名指しは避け、「別のハードウェアウォレットブランド」に対する最近のサプライチェーン攻撃を理由に、販売停止を通知したとの書簡を送付した。同社は自社製品の安全性について強調した。
「誤解なきよう申し上げる。Trezorデバイスが危険にさらされた証拠は一切ない」とチームは表明した。
チーフコマーシャルオフィサーのダニー・サンダース氏は、対象となる再販業者が2027年1月1日付で認可を失うと説明した。Trezorはこれら業者への新規出荷を既に停止している。
ただし、業者は手持ち在庫についてはブラックフライデーやホリデーシーズン中は販売継続できる。
Trezorは、削除対象となった再販業者数や地域については明かしていない。サンダース氏によれば、各国の売上高や流通状況、Trezor自身の影響力などを基準に判断したという。
引き続き取引関係のあるパートナーには、法的枠組みの見直しに加え、調達や保管、取り扱いの全工程について厳格なチェック体制を敷く。
Ledgerは全てのウォレットメーカーに対し、共通の改ざん防止基準の導入を呼びかけている。Trezorは当面、自社の流通管理を強化する姿勢を示した。
