シンガポール警察は、現地の小売店で販売された改ざんされたLedgerハードウェアウォレットが、約350万シンガポールドル（約270万米ドル）の暗号資産を盗むために使用されたと確認した。警察のアドバイスは10月28日に公開され、9月10日から報告された少なくとも2件のケースを引用している。初期の法医学的分析では、侵害されたデバイスにユーザーのリカバリーフレーズや秘密鍵を取得できる悪意ある部品が含まれており、所有者の知識なしに資金を移動できることが示唆されている。

調査のタイムラインと範囲

警察報告では、調査期間が9月10日に最初のローカルケースが特定された時点から開始し、10月末まで続くと記載されている。Ledgerは10月9日に、CryptoBilisを通じて販売されたデバイスに関連するウォレットの流出を検出したと発表した。CryptoBilisはインドネシア、マレーシア、フィリピンおよびその他の市場で認定販売業者として運営されている。シンガポールのアドバイスは、ローカルケースとCryptoBilis関連の流出との直接的なリンクを確認していないが、両方の事件は同じブランドのハードウェアウォレットと類似したインプラント挙動を示している。Ledgerは10月13日に、CryptoBilisから購入されたデバイスに追加部品があり、セットアップ時にリカバリーフレーズをデコードしてLTE経由で送信したと確認した。会社はその後、シンガポールと他の6つのアジア市場の小売業者に販売停止を要請し、調査が継続されている間に販売を一時停止するよう求めた。

影響を受けたユーザーへの警察の指導

シンガポール警察（SPF）は、Ledgerデバイスが改ざんされていると疑われる場合、直ちにリカバリーフレーズの入力や取引の開始を停止するよう促した。ユーザーは公式サポートチャネルを通じてLedgerに連絡し、残っている資産をクリーンなデバイスで生成された新しいリカバリーフレーズを持つ新しいウォレットに移動することを検討すべきだ。アドバイスは、ウォレットメーカー、取引所、法執行機関を名乗る個人を含め、誰とでもシードフレーズを共有しないよう警告している。SPFは、ヒントや追加情報のためのホットライン（1800‑255‑0000）を提供した。

業界の反応と広範な影響

Ledgerはこの事件を「局所的な配布攻撃」と表現し、システム全体のサプライチェーン侵害ではないようだと強調した。会社は当局と協力し、影響を受けた顧客に対して侵害されたデバイスを交換したと報告している。競合ハードウェアウォレットメーカーのTrezorは10月13日に、最近のサプライチェーン事件を受けて認定販売業者の数を減らすと発表し、セキュリティ懸念の高まりを理由にした。Zero Knowledge Groupのセキュリティ研究者オースティン・キャンベルは、この事件を利用して、自己管理ソリューションはよりシンプルで攻撃表面が少ない設計を優先すべきだと主張した。

今後の注目ポイント

当局はまだ悪意ある部品の出所を特定しておらず、調査は継続中である。注目すべき主要な進展は、（1）シンガポールのケースと、ブロックチェーン分析会社Bitqueryによると335ウォレットで1億ドルを超える損失と推定されるCryptoBilis関連の損失との正式なリンク、（2）Ledgerからのインプラントの範囲と追加の是正措置に関するさらなる声明、（3）シンガポールおよび他の東南アジア法域でのハードウェアウォレットサプライチェーン監視を強化するための規制対応の可能性。