Ledgerの正規品チェックは通った。インプラントは、そのチェック対象のチップの隣にあった

Ledgerは、10月9日に表面化した暗号資産の不正流出キャンペーンに関与したハードウェアウォレットの少なくとも1台に、認可されていないハードウェアインプラントが仕込まれていたことを確認した。そして現時点で確認されたすべての事例が、同じ一点に行き着く。マレーシア、インドネシア、フィリピンで事業を展開するリセラー、CryptoBilisである。オンチェーン調査者らは、Bitcoin、Ethereum、Tronにまたがる300を超えるウォレットから、8,600万ドルから9,300万ドル相当が抜き取られたと推定している。Ledger自身は被害額を確認しておらず、影響を受けた端末の数については「限定的」と述べるにとどめている。

10月10日の同社の声明は、簡潔で曖昧さがなかった。

影響を受けた利用者の端末の1台に、認可されていないハードウェアインプラントが含まれていたことをLedgerは確認できる。

翌日の72時間アップデートでは、確認されたすべての事例がCryptoBilis経由で販売された端末に関するものであること、Ledgerの社内システムと直販チャネルには影響がないこと、そして同リセラーがハードウェアウォレットの販売を停止したことが付け加えられた。

利用者が案内されてきたチェックは、別の問いに答えている

ハードウェアウォレットの存在価値は、秘密が端末の外に出ないという一点にある。Ledgerの「正規品チェック（Genuine Check）」は、開封時にその約束を検証するためのものだ。端末のセキュアエレメントに対し、それが本物のLedgerチップであり、Ledgerのファームウェアを実行していることを暗号学的に証明させる。この仕組みは機能している。そして今回に限っては、的を外している。

Ledgerは、元のセキュアエレメントが無傷である場合、正規品チェックでは後から追加されたインプラントを検出できないことを認めている。この証明が示すのはチップが本物だということであって、同じ筐体を共有している他の何かについては何も語らない。元Mt. Gox最高経営責任者のマルク・カルプレス氏は、マレーシアで改造された端末を購入し、内部にマイクロコントローラ、アンテナ、LTEチップ、eSIMを載せた小さな追加基板を見つけたと述べている。チップの傍らに置かれ、画面とボタンを見張り、独自の外部通信経路を持つ観測者ということになる。これはLedgerではなく同氏の見解であり、Ledgerはインプラントの動作について説明していない。しかし問題の形は細部に左右されない。ある一つの部品を検証する証明は、設計に初めから含まれていなかった部品については何も保証できない。

この隙間はLedger固有の失敗ではない。端末側の完全性チェックすべてに共通する構造的な限界である。証明を行う主体が、攻撃者がこじ開けた筐体の内側に置かれているのだ。

破綻したのは、助言が指し示していたチャネルそのものだった

ハードウェアウォレットを買う際の定番の助言は、公式チャネルを使い、グレーマーケットの販売者を避けろというものだ。CryptoBilisは正規リセラーだった。助言はそのまま侵害地点を指していたことになる。

Ledgerの対応は、既にあった規則を締め直すことだった。正規リセラーに対し、調達は正規チャネル経由に限ること、そして「返品された製品を決して再び在庫に戻さないこと」を求めている。同社は今回の件について、流通および改ざん対策のプロセスを「継続的に見直し強化していく理由を浮き彫りにした」と述べている。言うこととしては妥当だが、頼りにするには不十分だ。流通網とは、数百の独立した事業者を内側に抱えた信頼境界であり、顧客にはそのいずれも監査する手段がない。Binance共同創業者のチャンポン・ジャオ氏はX上で、攻撃者はリセラーそのものを買収したのだと主張している。この主張は未検証でCryptoBilisはコメントしていないが、現在のモデルが答えを持たない類の攻撃を言い当ててはいる。

範囲の問題もある。Bitqueryは、追跡した被害ウォレットの8割超が6月以降に初めて入金を受けていたことを突き止めた。これは、Ledgerの助言が前提としてきた90日間という枠の外にも、影響を受けた購入が存在することを示している。

影響を受けた利用者が取るべき対応

同じ端末で新しいシードを生成し直すことは解決にならない。その端末が最初のリカバリーフレーズを観測できたのなら、二つ目も観測できる。

今回の件は、例によって二次的な波も呼び込んでいる。Ledgerサポートを騙るアカウントが現れ、欧州の小売店で購入した端末が改造されていたという未確認の報告も出回っている。ある利用者は、解析のため端末をLedgerに送付すると述べている。Ledgerは欧州の件についてコメントしておらず、いずれも確認は取れていない。

何を意味するのか

サプライチェーンへの改ざんは、セキュリティ製品に対する最も古い攻撃であり、最も防ぎにくい攻撃でもある。利用者の検証手段が届かない地点に攻撃者を移動させてしまうからだ。業界がこれまで用意してきた答えは、初回起動時の証明と、承認済み販売者のリストだった。今回の事案はその両方を同時に破った。販売者は承認済みであり、証明は通過した。端末が内部の一つのチップではなく自身の物理的な全体について証明できるようになるまで、誠実な助言は箱に書かれているものより狭い。直販で買うこと。そしてそれ以外は、他人の言葉を信じると自分で決めた端末として扱うことだ。

Sources: BleepingComputer · CoinDesk · Decrypt · Help Net Security