メディアマルクト、レジャー販売を停止 独で不正部品の報告

欧州の家電量販店メディアマルクト・ザトゥルン（MediaMarktSaturn）が、ハードウェアウォレットメーカーのレジャー（Ledger）の端末販売を店舗とオンラインで停止した。レジャーは韓国時間13日午後9時29分、公式Xで、ドイツの顧客1人が端末内部から不正な部品（インプラント）を見つけたと報告し、メディアマルクト・ザトゥルンがレジャーと調整のうえ調査が終わるまで販売を止めたと明らかにした。レジャーはこの件で資金の被害は報告されていないとしている。

これまでにレジャーが確認した盗難は、すべて東南アジアの販売店CryptoBilis（クリプトビリス）で販売された端末で起きている。欧州の大手流通網まで販売を止めたことで、調査の範囲は東南アジアの外に広がった。

欧州の2店舗で買った端末、同じ改造

欧州からの報告は前日から出ていた。Xユーザーのヨハネス氏（@0xJohannes_）は韓国時間12日午後10時17分、別々のメディアマルクト2店舗で買ったレジャー端末の両方から、追加の配線とLTE通信モジュールを見つけたと主張した。2台目は開封の様子を動画で撮影し、店員から返品商品ではないとの回答を得たという。同氏によると、店舗の記録では在庫はドイツの流通業者Aqipa（アキパ）経由で入荷していた。

メディアマルクト・ザトゥルンの広報担当者はコインテレグラフに「当社が展開するすべての国で製品の取り扱いを中止した。予防的な措置だ」と述べた。レジャーは欧州の報告がCryptoBilisの事件と同じ犯行かどうかはまだ明らかにしておらず、ヨハネス氏の主張も確認していない。

画面の24単語を携帯電話網で外部へ

レジャーは13日午後3時39分、社内のセキュリティ研究チーム「Donjon（ドンジョン）」の分析結果を初めて公表した。問題の部品は端末の筐体内部に組み込まれ、画面に表示される内容を読み取る。端末は初期設定時に、ウォレットの復元に使う24単語のリカバリーフレーズを画面に表示する。部品のマイコンがこの画面を検知すると、表示された単語を読み取って解読し、あらかじめ組み込まれたeSIMでLTE携帯電話網を通じて外部に送信していた。

レジャーはこの部品について、後から付け加えられた別個の装置だとし、「セキュアエレメントやレジャーのOSを改変せず、取引や署名にも手を加えない」と説明した。リカバリーフレーズさえあれば別の端末でウォレットを復元して資金を移せるため、端末自体のセキュリティチップが無事でも資産は守れない仕組みだ。

1. 10月9日 22:32レジャー、CryptoBilis販売端末に関連する資金被害の調査を初めて公表
2. 10月11日 02:09被害者の端末1台で不正部品を確認
3. 10月12日 22:17ヨハネス氏、メディアマルクトで買った端末2台から部品を発見と主張
4. 10月13日 15:39レジャーのDonjon、部品の仕組みを公表
5. 10月13日 21:29メディアマルクト・ザトゥルンの販売停止を発表

時刻はすべて韓国時間。レジャーは被害者の総数と被害総額は確認していないとし、ネット上で出回っている数字は第三者によるものだとした。ディクリプトによると、オンチェーン調査者のスペクター（Specter）氏はイーサリアム・トロン・ビットコインで8600万ドルを超える盗難の疑いがある取引を追跡した。

シンガポール空港販売分からも報告、トレザーはCryptoBilisを正規販売店から除外

報告は他の地域からも出ている。マウントゴックスの元CEOマルク・カルプレス氏は13日午後5時ごろ、Xでシンガポールの空港で販売されたLedger Flex（レジャー・フレックス）からスパイ部品を確認したと投稿した。レジャーはこの件を個別には確認していないが、他の端末や地域での不正部品の報告も検証しているとした。コインデスクによると、レジャーのパスカル・ゴーティエCEOは直販と販売店に適用する管理体制を点検していると述べた。

競合他社も動いた。トレザー（Trezor）は12日、CryptoBilisで販売された自社端末が改ざんされたとの報告はないとしながらも、予防措置としてCryptoBilisを正規販売店リストから外したと明らかにした。CryptoBilisはマレーシア・フィリピン・インドネシアで全ブランドのハードウェアウォレットの販売・配送を停止した。