ハードウェアウォレットのパラドックス: なぜ「エアギャップ」が弾丸防御を意味しないのか

ハードウェアウォレットはあなたの秘密鍵をオフラインで保管します—その部分は正当です。問題は？脅威はあなたのインターネット接続を通じて来ていません。

本当の攻撃ベクター

泥棒は暗号を解読しているのではなく、サプライチェーンを解読している。

ハードウェアウォレットの強盗の解剖:

攻撃者は正規のデバイスを購入し、それらをオフラインでアクティブにし、ウォレットアドレスを事前に生成し、その事前生成されたシードと共に偽の取扱説明書をパッケージします。彼らの「セットアップガイド」に従うと、実際には彼らがすでに管理しているウォレットに入金していることになります。何が起こったのか気づく頃には、あなたの資金は消えてしまっています。

ここでの被害者はすべて「正しい」ことをしました—デバイスを購入し、シードをバックアップし、資産を移しました。彼らが見落としたのは、そのデバイスが非公式の販売者から事前にアクティブ化されていたことです。

実際のケース: imkeyは、再梱包された箱の中でマニュアルを改ざんする偽造販売者について公に警告を発しました。シールは無傷に見えました。デバイスは新しく見えました。しかし、攻撃者は数時間の先行時間を持っていました。

誰も話さない開封時の赤旗

Ledgerユーザーは「データ侵害」による代替品を主張する未請求のパッケージを受け取りました。中には、無傷のLedger Xと、すぐにデバイスを切り替えるように求める手紙が入っていました。

詐欺だと叫ぶべき赤旗:

• Ledgerは積極的に交換デバイスを送信しません
• CEOパスカル・ゴティエは、個人データの漏洩に対して補償しないと明言しました。
• ユーザーはそれを調べ、プラスチックハウジング内部に明らかな改ざんの痕跡を見つけました。

どうやってレクトにならないか

1. 直接購入、スマートではない: 公式チャネルのみ。第三者の販売者 = 第三者のリスク。例外なし。

2. デバイスの状態が重要です: 新品のハードウェルドは 未アクティブ の状態で到着します。もしあなたのものにマニュアルに “初期PIN” が印刷されているか、以前の設定の兆候がある場合は、止めてください。返送してください。

3. あなたがすべてを生成します: PINコード、シードフレーズ、アドレス—すべてユーザー向けです。設定中に他の誰かがこれに触れた場合、デバイスは危険にさらされています。以上。

4. パッケージングに直感を信じる: 改ざん防止シール、一貫性のないブランド、公式資料の誤字—これらは重要です。泥棒は手抜きをします。

ハードウェアウォレットは失敗しませんでした。人間の要素が失敗しました。そして、それこそがサプライチェーン攻撃が存在する場所です。