Trezor、3機種にスパイ機能発見、販売代理店80％削減

Trezor、ファームウェアと販売代理店に関する変更点を詳述

ハードウェアウォレットメーカーのTrezorは11月12日、東南アジアの旧正規販売代理店であるCryptoBilisから購入された3台の「Safe 5」デバイスに、不正なハードウェアインプラントが含まれていたと発表した。調査に関する同社のブログ記事では、ファームウェアの更新と、より厳格な流通管理について詳述されている。 11月11日にリリースされたバージョン2.13.1では、デバイスを動作させるソフトウェアを更新することで、特定されたインプラントによる情報取得を防止します。影響を受けた3台のデバイスはすべて、8月20日から9月23日の間にCryptoBilisから直接、または同社のTokopediaおよびShopeeストアを通じて購入されたものです。 Trezorは最初に報告されたSafe 5への埋め込みを自社研究所で調査し、所有者から提供された写真からさらに2件を特定しました。48人の顧客から連絡があり、同社は自社研究所または顧客から提供された写真を通じてデバイスの確認を行っています。同社は次のように述べました。

「当社は販売代理店ネットワークを約80％削減しました。」

販売代理店削減の計画は10月に明らかになっており、Trezorは現在、排除されたパートナーについて「信頼できるものであり、差し迫った脅威とはならない」と説明しています。残りの販売業者は、デバイスの調達・保管・アクセスに関するより厳格な要件を満たさなければなりません。

隠された基板がウォレットの秘密を盗み出した

Safe 5の内部では、この不正なインプラントが画面とメインボード（電子部品を接続するデバイスの主要な回路基板）の間に設置されていました。Trezorの分析によると、このインプラントはファームウェアや専用のセキュリティチップである「セキュアエレメント」を変更することなく、表示された情報をコピーしていました。 この追加基板は、ウォレット作成時や復元時にユーザーが入力するリカバリーワードだけでなく、表示されるパスフレーズ（別のウォレットにアクセスするために使用されるオプションの追加秘密情報）も記録します。このインプラントは、取得したデータを暗号化し、モバイルネットワーク経由で攻撃者が運営するサーバーへ送信します。通信信号がない場合はデータを保持し、転送が成功するまで再試行を続けます。 Trezorによると、このインプラントは一部のLedgerデバイスで発見されたものと同様の仕組みで動作します。Ledgerの場合、攻撃者は正規のデバイスを購入し、改造を施した上で、東南アジアの再販業者を通じて再販売していました。

Ledger社は10月、影響を受けた顧客のウォレットに不正なハードウェアインプラントが埋め込まれていることを確認していた。Trezor社の調査結果は、CryptoBilisから購入された「Safe 5」デバイスに限定されている。他の地域の再販業者が扱うデバイスを検査した結果、改ざんは確認されず、同社は他のモデルにおけるインプラントの確定事例はないと報告している。

CryptoBilisで購入したユーザーは依然として新しいウォレットが必要

今回のアップデートにより、特定された不正な埋め込みによるデータ取得は阻止されるものの、以前に漏洩したウォレットのバックアップは依然として危険にさらされた状態にある。Trezorは、CryptoBilisで購入したユーザーに対し、新たに作成したウォレットへ資金を移すよう引き続き勧告している。これは、同じリカバリーフレーズを再利用したままハードウェアを交換しても、セキュリティ上のリスクが解消されないためである。改ざんの疑いがあるデバイスの所有者には、サポートからの指示があるまで、そのデバイスを保管し、セットアップや使用を控えるよう指示された。

交換対象は3月以降にCryptoBilisで購入された全モデルです。配送上の制約により、価格差を払い戻した上での別モデルへの交換、他国への配送、または返金となる場合があります。顧客にはTrezor公式サポートを通じて交換手配を行うよう求められており、購入経緯が不明なユーザーに対してもデバイスの購入元を確認するよう推奨されています。

Trezorは、詐欺師がスタッフを装い交換や返金を申し出る可能性があるとして注意を呼びかけ、同社がリカバリーフレーズを要求することは決してないことを改めて強調しました。同社は、セキュリティアライアンスの仮想通貨インシデント向け緊急対応サービスであるSEAL 911との連携を継続しています。また、この不正プログラムを最初に報告した顧客に対して報奨金を支払うことを約束しました。