大手ハードウェアウォレットメーカーのTrezorは、自社製品の販売を許可する店舗の数を削減する方針を打ち出した。
この決定は、Ledgerウォレットの第三者販売店でスパイウェアが仕込まれ、ユーザーの暗号資産が盗まれる事例が報告されたことを受けたもの。
Ledgerのセキュリティ事件、暗号資産ウォレット業界を揺るがす
ライバルであるLedgerは、東南アジアの再販業者CryptoBilisを通じて販売されたデバイスに、隠しインプラントが仕込まれていたことを認めている。
Ledgerのセキュリティチームによると、そのインプラントはデバイス設定時に画面上に表示される24単語のリカバリーフレーズを読み取り、これはウォレットのマスターキーとなる。このチップは、その情報をセルラー通信で外部へ送信するという。詳細は同社の最新のインプラント情報で明らかにしている。
Bitqueryのオンチェーン研究者は、被害想定額が9300万ドルを超えるとの推計を示している。Ledgerは被害総額を公表していない。
Ledgerは、確認済みのすべての事例がCryptoBilisに関連しているとしている。一方、ユーザーからはヨーロッパにも改ざんデバイスが流通したとの声が上がっているが、Ledgerはこれを認めていない。
Trezorウォレットデバイスの安全性は？
TrezorはLedgerの名指しは避け、「別のハードウェアウォレットブランド」に対する最近のサプライチェーン攻撃を理由に、販売停止を通知したとの書簡を送付した。同社は自社製品の安全性について強調した。
「誤解なきよう申し上げる。Trezorデバイスが危険にさらされた証拠は一切ない」とチームは表明した。
チーフコマーシャルオフィサーのダニー・サンダース氏は、対象となる再販業者が2027年1月1日付で認可を失うと説明した。Trezorはこれら業者への新規出荷を既に停止している。
ただし、業者は手持ち在庫についてはブラックフライデーやホリデーシーズン中は販売継続できる。
Trezorは、削除対象となった再販業者数や地域については明かしていない。サンダース氏によれば、各国の売上高や流通状況、Trezor自身の影響力などを基準に判断したという。
引き続き取引関係のあるパートナーには、法的枠組みの見直しに加え、調達や保管、取り扱いの全工程について厳格なチェック体制を敷く。
Ledgerは全てのウォレットメーカーに対し、共通の改ざん防止基準の導入を呼びかけている。Trezorは当面、自社の流通管理を強化する姿勢を示した。
