Ledger CEOとMt. Gox元責任者の対立
LedgerのCEO、パスカル・ゴティエは、9000万ドル相当の暗号通貨盗難に関連する改造されたハードウェアウォレットに関する警告を巡って、元Mt. Goxの責任者マーク・カルペレスと公に対立しました。10月17日のXでのやり取りの中で、カルペレスは、ウォレット製造業者が東南アジアの再販業者CryptoBilisを通じて販売されたデバイスに関する損失が報告される前に、洗練されたスパイ用インプラントの危険性を十分に伝えたかどうかを疑問視しました。
セキュリティ対策の擁護
ゴティエはLedgerのセキュリティ対策を擁護し、元取引所の幹部の批判に反論しました。この対立は、正規のLedgerデバイス内に無許可の電子機器が発見されたことに続いています。調査者は、追加のハードウェアが設定中にウォレットの24語のリカバリーフレーズをキャプチャし、セルラー接続を通じて送信できることを発見しました。研究の推定では、疑わしい損失は9000万ドルを超えるとされています。
Ledgerはその数字を最終的な確認済みの合計として確立しておらず、カルペレスの主張する以前の警告がこれらの損失を防げたかどうかは証明されていません。
カルペレスの主張とゴティエの反論
この対立は、カルペレスがLedgerのハードウェアウォレットに対する物理的な改造に関する以前のコミュニケーションを疑問視したことから始まりました。10月17日の投稿で、彼はLedgerが最新の事件の前にそのようなインプラントについて議論していなかったという以前の主張を訂正しました。カルペレスは、同社が改造されたデバイスに関連するリスクを扱ったセキュリティ記事を3月に公開したことを認めました。しかし、彼は、教育セクションでのガイダンスの公開は、後に発見されたデバイスの洗練度を考えると不十分であると主張しました。
Ledgerのセキュリティガイドとその限界
Ledger自身の文書は、同社のデバイス認証システムの重要な制限を確認しています。同社のGenuine Checkは、センシティブなウォレット操作を実行するために使用される保護されたチップであるSecure Elementの暗号的なアイデンティティを検証します。設定中、Ledgerのソフトウェアはデバイスに検証リクエストを送信します。Secure Elementは、その元の製造プロセスに関連付けられたユニークな暗号署名を使用して応答します。
成功した応答は、デバイスが本物のセキュリティチップを含んでいることを確認します。このチェックは、ウォレット内のすべての物理コンポーネントを検査するものではなく、製造後に誰もデバイスを改造していないことを確立するものではありません。
CryptoBilisのケースと顧客への影響
CryptoBilisのケースでは、悪意のある電子機器は正当なハードウェアと共に動作し、デバイスの元のセキュリティ機能を機能させ続けることができたと報告されています。調査者は、初期化中に表示されるリカバリーワードをキャプチャできる画面近くに配置されたインプラントを説明しました。リカバリーフレーズは、ウォレット所有者が暗号通貨アドレスの制御を復元することを可能にします。
今後の対応と顧客へのアドバイス
Ledgerは、すでにデバイスを設定した影響を受けた顧客に対し、信頼できるデバイスで新しいリカバリーフレーズを使用して生成されたウォレットに資金を移動するよう推奨しました。この事件は、再販業者の監視や、個々のデバイスに組み込まれた技術的保護に関する疑問を含んでいます。Ledgerの現在の購入ガイダンスは、同社から直接または認可された販売者を通じて購入し、目に見える改造を確認し、公式ソフトウェアを通じて認証を完了することを推奨しています。
