Ledgerの仮想通貨ウォレットにバックドアか、7100万ドルの仮想通貨がすでに流出

Ledgerは金曜日、インドネシア、マレーシア、フィリピン向けに同社がリストに掲載しているリセラー、CryptoBilisからデバイスを購入した東南アジアのユーザーから資金紛失の報告を受け、調査を進めていると発表した。Xの投稿で、Ledger Supportはこの調査が進められている間、全ての販売と出荷を停止するようCryptoBilisに依頼したと述べた。

「過去90日間にこのリセラーから購入したLedgerユーザーは、まだセットアップを行っていない場合はセットアップを開始しないことをお勧めします」とサポートアカウントは述べた。「すでにLedgerデバイスをセットアップしている場合は、資産を新しいLedger署名者（新しいシードを使用）に移動することを検討してください。」

Ledgerのメインアカウントからのその後の返信では、さらに踏み込んだ説明がなされた。「これまでに得られた情報に基づき、流出した資金は東南アジアのCryptoBilisというリセラーを通じて販売されたデバイスに限定されていると考えています」と同社は述べた。「Ledgerのセキュリティインフラ、システム、サービスが侵害されたという兆候はありません。」

LedgerはCryptoBilisが改ざんを行ったとは非難しておらず、そのショップがデバイスを改造したことを示す公的な証拠もない。そのチャネルを通じて移動したLedgerデバイスに、別の第三者が干渉した可能性もある。CryptoBilisは金曜午後の時点で公的な声明を出していない。

Arkham Intelligenceの未確認のカスタムエンティティ（ledger-drainerとラベル付けされている）によると、金曜午後の時点でフラグが立てられたアドレスに約71.5 millionドルが残っている。最大の残高は、etherが約29.4 millionドル、bitcoinが17.5 millionドル、USDDが13.6 millionドル、USDTが10.8 millionドルであった。

Ledgerユーザーにとって、セキュリティ問題が発生したのは今年これが初めてではない。1月、Ledgerは決済プロセッサのGlobal-eが、非公開の数のLedger.com購入者の名前と連絡先詳細を漏洩させたことを明らかにした。その事件ではcryptoは奪われなかったが、漏洩した記録は、後のフィッシングや、ますます一般的になっている物理的なターゲット化を容易にする類のものであった。4月には、あるミュージシャンがAppleのMac App Storeから偽のLedger Liveアプリをダウンロードした後、約424,000ドルのbitcoinを失った。

悪名高い情報源からの理論

金曜日に最も注目を集めた理論は、Ledgerからのものではなかった。元Mt. Goxの最高経営責任者であるMark Karpelèsは、マレーシアで購入したというLedgerの写真を投稿した。それには、無傷のシュリンクラップと、画面のパッドがあるべき場所に隠された2枚目の基板が写っていた。彼は、1本のワイヤー上のアンテナ、スペースを作るための短いバッテリーまたは欠落した画面パッド、そしてデータeSIMを搭載した LTEモジュールについて説明した。後の投稿で、彼はマイクロコントローラーが128-by-64ディスプレイ上のLedgerフォントを認識し、セットアップ画面を特定して、シードフレーズをテキストとしてLTE経由で送信できると書いた。また、インプラントは画面が更新されるときだけリッスンするため、ファームウェアは攻撃を検出できないとも書いた。彼はそのデバイスがCryptoBilisからのものだとは言っていない。