web3: ハードウェアウォレットのユーザーデータ流出後、さらなるセキュリティリスクに直面

最近、2社の物流会社で連続してデータ漏洩が発生したことにより、暗号ハードウェアウォレットを保有するユーザーに新たなセキュリティリスクが生じています。TrezorとSafePalはそれぞれ、数千人の顧客の個人情報および受け取り情報が物流パートナーから盗まれたことを発表しました。海外メディアは、この事件がウォレットのオフライン保管機能には直接影響しないものの、暗号業界が外部サプライチェーンに依存するリスクを露呈したと指摘しています。

漏洩情報は実際の住所を示す

両社は物流業者に配送に必要な氏名、自宅住所、メールアドレス、電話番号を提供していました。これらの情報が攻撃者の手に渡った場合、単なる迷惑メールや詐欺電話のリスクにとどまりません。

さらに深刻なのは、攻撃者がこれらの情報をもとに、どの住所がより多くの暗号資産を保有するユーザーかを特定し、標的型フィッシングやオンライン攻撃からオフラインの脅迫行為へと発展させる可能性があることです。

オフラインでの暴力によるシードフレーズ強奪のリスクが上昇

報道によると、ハードウェアウォレットそのものはリモート攻撃で突破されてはいませんが、ユーザーは「レンチ攻撃」と呼ばれるリスクにさらされる可能性があります。このような事件では、誘拐や強盗、暴力的な脅迫などを通じて、被害者にシードフレーズを引き渡すよう強要し、暗号資産を不正送金される場合が多いです。

ブロックチェーンセキュリティ企業のCertiKによると、2025年にはすでに数十件の関連事件が確認されており、前年から75%増加、被害総額は4,000万ドルを超えています。Chainalysisが集計した今年の被害額も3,000万ドル近くとなり、いくつかのグループはすでに誘拐や住居侵入でシードフレーズを強要しています。

いったん攻撃者がシードフレーズを入手すると、該当するウォレットの暗号資産を直接操作可能となり、ブロックチェーン上のトランザクションは基本的に取り消しができません。

ハードウェアウォレット自体でも新たな事件が発生

サプライチェーンからの情報漏洩だけでなく、ハードウェアウォレット自体にも最近新たなセキュリティ事件が発生しています。報道では、今月初めに攻撃者がCoinkiteのColdcardハードウェアウォレットのパスワードを推測し、1億3,000万ドル超の暗号資産をブロックチェーン上から直接盗んだと伝えています。

報道によると、攻撃者は一部のColdcardウォレットでオフライン生成されたシードフレーズを予測できたとのことです。ウォレットやシードフレーズがインターネットと一度も接触していなくても、攻撃者はこの情報を用いてクライアントのウォレットパスワードを動的に生成し、ブロックチェーン資産を直接持ち出すことが可能でした。

TrezorとSafePalも、SMSや電話、電子メールで送信される標的型情報を含むフィッシング攻撃への警戒を呼びかけています。ハードウェアウォレットユーザーにとって、リスクはもはやデバイス本体だけでなく、物流、データ処理、アフターサービスなど周辺プロセスにも及んでいます。