暗号資産（仮想通貨）ウォレット大手のレジャー（Ledger）は15日、同社ハードウェアウォレットへの不正部品組み込みについて、状況を説明し再発防止策を発表した。
まず、今回の出来事は組織化された犯罪グループによる巧妙な攻撃だったと述べる。彼らは数か月にわたり、正規のレジャー・デバイスを購入して開封し、リカバリーフレーズを盗み出すよう設計された独自の不正部品を組み込んでいたという。
これらのデバイスを東南アジアの販売代理店網を通じて流通させており、このデバイスを手にした被害者がセットアップする際に不正部品が動作する格好だ。
レジャーによると、犯罪グループはリカバリーフレーズを収集するサーバーや、資産を抜き取りマネーロンダリングを行うための独自インフラも構築していた。数百万ドルもの資金を投じた上で、綿密に計画された一斉攻撃によって、ユーザーのウォレットから資産を奪ったとされる。
レジャーは、レジャー製品自体のチップやオペレーティングシステム、サーバーに欠陥があったわけではなく、同社のシステム自体が侵害された事実もないと強調している。今回の攻撃は、デバイスが同社の管理下を離れた後の「流通経路」を標的としたものだった。
現在、レジャーは法執行機関などと連携し、盗難資金の追跡および攻撃者のインフラ解体に取り組んでいると述べる。詳細については今後改めて知らせる予定だとした。業界の他社が自社製品のセキュリティを強化できるよう、可能な範囲で技術情報を共有していく考えも示している。
被害額については、ブロックチェーン分析企業のビットクエリが11日時点で約9,320万ドル（約147億円）が流出したと推計した。一方で、レジャーはネット上の数字は第三者によるもので十分に検証していないと述べた。
レジャー社内のセキュリティチームは、不正部品を分解・解析し、その仕組みを突き止めた。また、ドイツを含む各地域の市場へ調査チームを派遣して店頭のデバイスを複数購入・開封したほか、倉庫内の在庫についても徹底的なサンプル検査を実施。調査した範囲ではすべてのデバイスに異常がなかったとしている。
さらに、東南アジアおよび香港の正規代理店に対し、販売の一時停止を要請した。万全を期すため、自社の在庫についても多数のサンプルを検査したが、不正なデバイスは見つからなかったと報告している。
今後のセキュリティ強化策としては、正規販売店および代理店に対して既存のルールを改めて周知した。返品されたデバイスは、たとえ新品同様で未開封に見える場合であっても、いかなる形であれ再販することは認められないというものだ。
また、これに加えて新たな手順も義務付ける。レジャー製品を店頭の棚やディスプレイに陳列することは禁止とし、在庫はバックヤードで保管し、購入時にのみ顧客へ手渡すようにする。顧客から製品に異常があるという報告があった場合には、すみやかにレジャーへ連絡することも求めた。
レジャーは15日にデータに特化した新モバイルデバイス「レジャーアトム（Ledger Atom）」を発表。セキュリティを重視して設計されており、製品の不正加工や不正開封に対するソリューションを搭載することも計画されている。出荷開始は2027年になる見込みだ。
