Trezorのフィッシング攻撃は、金庫ではなくベンダーを標的にした。これが、投資における重要な教訓です。

水曜日の遅い時間に、メールが届いた。347,000件のメール受信箱それは、どこから来たのかと思われる。help@trezor.io件名：「重要なセキュリティ警告：STM32エントロピーの脆弱性」このメッセージでは、ハードウェアウォレットを持っている人々に対して、彼らのマイクロコントローラに存在する脆弱性について説明されていました。その脆弱性を利用すれば、ハッカーは復元シードを取得することができます。そして、リンクをクリックしてアプリケーションをダウンロードし、「更新」を行うように求められていました。Trezorの対応は曖昧でした。そのメールは彼らからのものではありませんでした。それはフィッシング攻撃でした。そして、その攻撃はTrezor自身の正規ドメインや、第三者のEメールサービス会社であるBrevoを通じて実行されていました。

恐怖が広がる前に、この話の各部分を評価してみましょう。暗号化システムの故障と供給チェーンに関する問題では、違いがあります。正しいラベルをつけることで、投資家がどこを心配すべきかが決まります。Trezorが公開した証拠によると、そのデバイスは無事でした。Trezorウォレットやアカウント、製品システムには何の影響もありませんでした。— ニュースレターのパイプラインのみ彼らの隣に座っていた。

展示品：売り手の一覧であり、金庫ではない。

この詐欺行為では、パリに拠点を置くEメールマーケティングプラットフォームであるBrevoが利用されていました。Trezorは、ニュースレターの配信やリストの管理、配信停止などの業務において、Brevoを利用しています。Brevo自身の調査結果によると、攻撃者は正当なユーザーのログイン情報を盗み取り、システムの脆弱性を利用して権限を拡大したとのことです。提供会社は当初、120件の顧客アカウントが影響を受けたと発表しましたが、その後その数字を訂正しました。138件のデータがありました。そのうち6件は、保存されている連絡先にフィッシングメールを送るために使用されました。また、43件のアカウントから連絡先がエクスポートされました。Trezor、BitBox、CoinTrackingという3つの暗号通貨関連企業は、同じプロバイダを利用しているが、すべての契約者が同じ集団によって標的にされたことを確認した。

Trezorの場合、露出している表面は、およそ…のオプトインニュースレターデータベースでした。347,000件のメールアドレスであり、現在そのアドレスは攻撃者が知っているとみなされている。トレゾールは、自社のシステムが侵害されていないと述べています。また、ブレボのプラットフォームにはパスワードやウォレットデータ、個人情報は一切含まれていないとも言っています。

重要な運用上の詳細は、応答時間です。Trezorによると、悪意のあるドメインは20分以内にDNSレベルで削除されました。そのため、ほとんどの受信者にはそのリンクが機能しなくなりました。ブロックされる前に、約2,500人がクリックした。トレゾールは、さらなるメール送信を止めるためにBrevoアカウントを停止しました。また、供給業者との関係やセキュリティ要件についても再検討しているところです。

これは、1ヶ月未満でTrezorのベンダーが犯した2度目のセキュリティ侵害です。そのため、同社は対応策を講じています。8月には、Trezorの物流業者であるShipMonkが使用しているMetabase分析ツールに存在する重要なSQLインジェクションのゼロデイ脆弱性を攻撃者が利用し、恐喝団が業者に対して要求金額を要求しました。この侵害により…約81,000人の顧客名前、メールアドレス、電話番号、配送先住所など——合計で約11,700件です。さらに67,000人の米国の顧客そのメール関連の問題が発生する1週間前に、その事実が明らかになった。Trezorは、2024年に第三者によるサポートチケット管理システムが侵害されたことがあった。

いかなるベンダーの違反も、そうではない。

この出来事を正直に読むと、そのメールの恐れの内容とは全く逆です。フィッシングメールの説明は、実際に存在する技術的問題に基づいていました。つまり、STM32マイクロコントローラのエンタルピー上の欠陥が原因で、シード情報が攻撃者によって盗まれる可能性があるというものです。しかし、デバイスの冷蔵保存機構の設計は、実際には問題にならないものでした。正しく機能しているハードウェアウォレットでは、復元用のシード情報はデバイス上に保持され、インターネットを通じて移動されることはありません。フィッシングメールでは、そのシード情報を得ることはできません。メールが指摘する脆弱性というのは、実際にはデバイスが防ぐべきものなのです。

つまり、ここでの実際の被害は暗号化に関するものではなく、通常の意味での資金の盗難でもありません。これは、信頼度という要素への攻撃です。そして、その信頼度こそが、ハードウェアウォレットという製品の経済的基盤なのです。ハードウェアウォレットとは、およそ100ドル程度の価値を持つハードウェアであり、その価値とは、インターネットがアクセスできない場所にキーを保管してもらうことです。この製品の価値はシリコン自体ではなく、顧客が、この会社やその設備が、一生分の貯蓄を失うことのない秘密を守る信頼できる存在だと信じることにあるのです。

だから、実際のリスクはチップではなく、ベンダー連鎖にあるのです。2026年には、第三者による犯罪が増えていきます。その被害は、お名前や住所が記載された配送業者、メールサービス、サポートポータルなどに及びます。これらは、ユーザーとウォレット間で偽の通信を成立させるための手段です。犯罪者は暗号技術を破る必要はありません。被害者に偽の情報を入力させる方が、ずっと安上がりです。

なぜ個人投資家が気にすべきなのか

トレゾールは、この分野の先駆者であり、SatoshiLabsという所有者が所有しているため、取引価格や株価を確認することはできません。この企業の投資価値は、今、公開市場に上場する方向にある業界の基準となるものです。同分野で最大の競合企業であるレジャーは、アメリカでの上場を目指し、投資銀行と協力しています。40億ドル以上2023年の資金調達価格である15億ドルをはるかに上回る。もしハードウェアウォレットの経済が市場に広がったら、重要な指標は単位あたりの量ではなく、信頼性の持続性です。つまり、4週間で3度のベンダーの侵害があった後でも、プラスチックと金属で作られたデバイスに自分の財産を預けることが価値があると信じている顧客の数がどうかです。

そのため、この事件は有用な視点となります。なぜなら、恐怖による行動の道は簡単であり、証拠に基づく行動の道はそうではないからです。中立的または初期段階にある暗号資産市場において、自己管理への需要が増加しているという好材料もあります（恐怖/欲望指数は56で、ビットコインの価格は77,400ドル近くで、52週間の高値である約125,500ドルには遠く及ばない）。フィッシングメールのせいでこの状況が悪化するわけではありません。サプライヤーの不正行為が繰り返されることは、信頼度の低下要因ですが、それは物理法則が変わったというわけではありません。

中断条件

この解釈を覆す事実があります。もし、これらの事件の中に、実際に重要な規模で復元用のシードやプライベートキーが漏洩されたという証拠がある場合、またはTrezorが、ベンダーではなく自社のシステムが攻撃されたことを明らかにしなければならない場合、その場合、「信頼度が維持されている」という仮定は成立しなくなります。Brevoの情報からは、そのような事態が起きた様子は全く見られません。デバイスの設計は維持されており、攻撃によって明らかになったのは、2,500件のメールボックスにおける接触データメタデータと、パニック状態だけでした。

その中断条件が発生するまでは、記録に基づいて事象を判断しましょう。つまり、ビジネスパートナーによる違反行為であり、その違反行為は詳細に記録されており、鍵のハード資産には影響がない。この区別こそが、投資における重要な教訓です。そして、Trezorの自己開示情報を開いて、その機能や主張される内容を確認すれば、数分でそのことを確認できます。