Ledger、東南アジアの販売店CryptoBilis経由の端末に不正なハードウェア埋め込みを確認　未使用品は初期設定しないよう呼びかけ

Ledgerのサポートアカウントは10月9日、CryptoBilisから製品を購入した東南アジアのユーザーで資金が失われたとの報告を調査していると発表し、同店に販売と出荷の一時停止を求めた。直近90日に購入して未使用の端末は初期設定を始めず、設定済みの場合は新しいリカバリーフレーズを作った別のLedger端末へ資産を移すよう案内した。続く10月10日の更新で、被害者の端末1台に不正なハードウェアの埋め込みがあったことを確認したと明らかにした。CryptoBilisは調査終了まで全てのハードウェアウォレット在庫の販売を止めたという。CryptoBilisはLedgerの販売店一覧でインドネシア、マレーシア、フィリピンの正規販売店として掲載されていた。Ledgerは当局やセキュリティ対応組織SEAL 911と連携しており、自社の基盤やシステム、サービスが侵害された兆候はないとしている。改ざん対策の追加にも取り組むという。損失額は調査者Specterが8600万ドル超、別の推計では約9340万ドルとされるが、いずれもLedgerは検証していない。確認された埋め込みは1台で、それが損失の直接の原因かどうか、いつ誰が仕込んだかはまだ明らかになっていない。