Ledgerは10月15日、同社製ハードウェアウォレットに不正部品が組み込まれて流通した事案について、流通経路を狙った組織的な犯罪との見方を示し、対応方針を公表した。自社のシステムが侵害された事実はないとしており、法執行機関と連携して盗難資金の追跡や再発防止策を進めるとしている。CoinPostが10月16日に報じた。

Ledgerによると、今回の犯行は数カ月かけて準備された巧妙なものだった。攻撃者は正規のLedger端末を購入・開封したうえで、リカバリーフレーズの窃取を目的とする不正部品を組み込み、東南アジアの販売代理店網を通じて流通させた。利用者が初期設定を行う際に、この部品が作動する仕組みだったという。

さらに、攻撃者はリカバリーフレーズを収集するサーバーに加え、資産の窃取やマネーロンダリングに用いる関連インフラも構築していた。Ledgerは、こうした犯行の準備に数百万ドル規模の資金が投じられたと説明している。

同社は、問題の原因が自社のチップ、OS、サーバーにあるわけではなく、システム自体が侵害された事実もないと強調した。端末がLedgerの管理を離れた後、流通経路の段階で改ざんされた事案だとしている。

現在は法執行機関と連携し、盗難資金の追跡や犯罪インフラの無力化を進めている。あわせて、業界内での再発防止に向け、共有可能な範囲で技術情報を他社にも提供する方針だ。

被害額については、現時点で外部推計が先行している。BitQueryは10月11日時点で、約9320万ドルが流出したと推定した。一方、Ledgerは、オンライン上で流通している数値は第三者によるもので、十分な検証は終えていないとしている。

Ledgerのセキュリティチームは不正部品を分解し、動作を分析した。あわせて、ドイツを含む複数地域に調査チームを派遣し、店頭の商品を直接購入して開封点検したほか、倉庫在庫についてもサンプル調査を実施した。調査対象の範囲では異常は確認されなかったという。

同社は東南アジアと香港の公式代理店に対し、販売の一時停止を要請した。自社在庫からは不正端末は見つからなかったとしている。

また、公式販売店と代理店に対しては、返品された端末を再販売してはならないという既存ルールをあらためて周知した。新品同様、あるいは未開封に見える状態であっても例外は認めないとしている。

店頭運用も見直す。製品を棚やディスプレイに陳列しないよう求め、在庫はバックヤードで保管し、購入時にのみ顧客へ引き渡す運用を求めた。顧客から製品の異常申告があった場合は、直ちにLedgerへ連絡する手順も追加した。

あわせてLedgerは10月15日、新たなモバイル端末「Ledger Atom」も発表した。セキュリティを中核に据えた設計とし、製品の改ざんや不正開封に対応するソリューションの搭載も計画している。出荷は2027年を見込む。