レジャーウォレット、不正部品がリカバリーフレーズを画面から読み取る手口を公表

この記事のポイント

不正部品が画面のリカバリーフレーズを送信
メディアマルクトがレジャー製品の販売を停止

不正部品の手口

仮想通貨ウォレット大手のレジャーは13日、東南アジアの販売店クリプトビリス経由の被害ユーザーのデバイスから見つかった不正なハードウェア部品（インプラント）が、画面表示のリカバリーフレーズを読み取って外部へ送る手口を公式Xで明らかにした。社内のセキュリティ部門ドンジョンが分析した。

この公表に先立つ9日、クリプトビリスでレジャー製品を買ったユーザーが資金を失ったとの報告を受け、レジャーは同店に販売停止を要請し、同店は販売を停止した。レジャーは10日に被害ユーザー1人のデバイスで不正部品を確認したが、部品の詳細は明らかにしておらず、確認済みの損失はすべてクリプトビリス経由の製品に関するもので、他の経路で購入した製品に関わる流出は確認していないという。

そこで今回ドンジョンが分析したところ、不正部品はデバイスの筐体内部にあり、画面に表示されるデータを読み取っていた。設定時に資産の復元に使う24単語のリカバリーフレーズが画面に出ると、部品内のマイクロコントローラーが単語を復号し、あらかじめ用意されたeSIMでLTE回線から外部へ送信した。

レジャーによると、この不正部品は独立した別の部品で、専用チップのセキュアエレメントやレジャーのOSを改変せず、取引や署名も書き換えない構造だった。

仮想通貨ウォレット大手レジャーは販売店クリプトビリス経由の被害者端末に不正ハードウェアを確認した。流出額は分析企業により約9,320万ドルとも推計されているところだ。

被害額と各社の対応

被害額を巡っては、ブロックチェーン分析企業のビットクエリが11日時点で、ビットコイン（BTC）を含む6つのブロックチェーン上の315ウォレットから約9,320万ドルが流出したと推計した。一方、レジャーは損失額と被害ユーザーの総数を確認できておらず、ネット上の数字は第三者によるもので十分に検証していないと述べた。

また、欧州の家電量販大手メディアマルクト・サターンは13日、ドイツの顧客1人からインプラントの報告を受け、レジャーと調整のうえ、店舗とオンラインでのレジャー製品の販売を停止した。資金流出の報告はなく、レジャーは自社のインフラやシステムが侵害された兆候はないという。

こうした中、レジャーはクリプトビリスの購入者に対し、未設定なら設定せず、設定済みなら新しいリカバリーフレーズを設定した新しいデバイスへ資産を移すよう呼びかけた。ドンジョンは受け取ったデバイスの分析を進めており、レジャーは他のデバイスや地域での報告も精査している。