新たに購入したLedgerのハードウェアウォレットに保管されていた80 BTCが、入金から10日後の10月9日に一括で送金された。送金時の価値は約660万ドル。Ledgerは販売元の東南アジアの代理店CryptoBilisに販売停止を求め、調査を進めているが、端末が改ざんされていたかどうかは確認されていない。
今回の事案は大口のビットコイン流出にとどまらず、ハードウェアウォレットの流通や初期設定の安全性にも関心を集めている。Ledgerは調査結果を公表しておらず、関連する損失総額についても、オンチェーン分析各社の推計には開きがある。
80 BTC、10月9日に一括送金
ブロックチェーン分析会社Lookonchainによると、保有者は約4カ月前に80 BTCを購入した。平均取得価格は1 BTC当たり約6万5,000ドルで、取得額は合計約520万ドルだった。
公開されているビットコインの取引記録では、80 BTCは9月29日にウォレットへ入金され、10月9日午前5時54分（UTC）に1件の取引で送金された。送金時のビットコイン価格は1 BTC当たり8万3,000ドルを上回っており、Lookonchainは流出前の含み益を約138万ドルと推計している。
同じ取引群では、少なくとも6件の大口送金が、分析者らが今回の資金移動に関連するとみるアドレスへ流入した。これらのアドレスの関連性は、あくまでオンチェーン分析に基づく見立てだ。
LedgerがCryptoBilisに販売停止を要請
事件発生から数時間後、Ledgerは代理店のCryptoBilisに販売を一時停止するよう求め、最近端末を購入した顧客には設定を控えるよう注意を促した。
Ledgerは、販売や納品の過程で端末に手が加えられた可能性があるかどうかを明らかにしていない。対象端末の具体的なモデルや調査結果も公表されておらず、調査の進展に応じて情報を更新するとしている。
ハードウェアウォレットは通常、暗号資産をオフラインで保管するために使われる。ただし、今回の資金流出の原因はまだ特定されていない。ウォレット本体、購入経路、初期設定の手順、その他の要因のどれが関係したのか、現時点では判断できない。
関連損失額は8,000万ドル超との推計も
ブロックチェーン分析会社Arkhamは、今回に関連する資金損失が8,000万ドルを超えると推計する一方、原因は確認されていないとしている。セキュリティ企業SlowMistの追跡サービスMistTrackは、総額が9,000万ドルに達する可能性があるとの見方を示した。
MistTrackによると、ステーブルコインUSDTの発行元Tetherは、盗難に関連するアドレスにあるUSDTを凍結した。Tetherが移転を制限できるのは自社発行のトークンであり、この措置は該当アドレス内のUSDTが対象だ。ビットコイン自体が凍結されたことを意味するものではない。
今年も相次ぐハードウェアウォレットの安全性への懸念
ハードウェアウォレットをめぐっては、今年も複数のセキュリティ問題が注目を集めている。8月には、Coldcardのファームウェアの脆弱性を通じて、攻撃者が約7,000万ドル相当のビットコインを移転させたと指摘された。
Ledgerの調査では、端末が改ざんされていたか、代理店の販売・納品過程に問題があったか、オンチェーン分析で関連付けられた資金の規模はどの程度かが、今後確認すべき点となる。