Trezor、CryptoBilis経由のウォレット購入者に不正部品の疑いで警告

Trezorは、元正規販売代理店CryptoBilisを通じて3月以降にハードウェアウォレットを購入した顧客に対し、資金を移すよう促した。Safe 5に不正な部品が組み込まれた疑いが報告されたためだ。Trezorが金曜日に明らかにしたところでは、インドネシアの顧客が8月にTokopediaで購入したSafe 5に無許可の回路基板が見つかったと報告した。報告によると、問題の部品は画面に表示される情報を取得できる可能性があり、ウォレットのリカバリーフレーズも含まれる。取得した情報は携帯電話網を通じて送信できるという。Trezorによると、同社は当該端末を検査しておらず、関連する損失報告も受けていない。最高商務責任者（CCO）のDanny Sanders氏は、端末がまだ研究所に届いていないものの、報告は信頼できると判断したと述べた。確認前に顧客へ警告する方を選んだのは、待つ間に顧客が資金を失うリスクを避けるためだという。同社広報はCryptoBilis経由の販売はごく小規模だったと説明したが、数字は公表しなかった。改ざんがどこで起きたかは特定できていないとした。また、ハードウェアの保護策を見直していると述べた。包装やシールなどの既存の安全策だけでは十分な保護にならないことも認めた。CryptoBilis経由で購入したLedgerウォレットに関わる暗号資産の損失報告は10月9日に浮上した。Ledgerは、影響を受けた端末1台に無許可のハードウェア部品が組み込まれていたと確認した。セキュリティ研究者のJoe Grand氏は以前、8月にTrezor OneとModel Tの改ざんについてTrezorに警告したと述べていた。これらのウォレットはTikTokとFacebookを通じた非正規販売者から購入されていた。Trezorは、侵害された端末の証拠はないとする以前の説明について、正規販売代理店経由で購入された新品のウォレットのみを対象としたものだと説明した。当時、同社のセットアップ時のチェックは偽造端末や改変されたファームウェアを検出するためのものだった。CryptoBilis経由で販売されたLedger端末で見つかった部品は、ファームウェアを改変せずに画面情報を取得していた。リカバリーフレーズを盗んだ攻撃者は、別の端末でウォレットを復元し、資金を移すことができる。Trezorは10月13日、販売代理店網を縮小する方針を発表した。