オンチェーン調査者のZachXBTは、ハードウェアウォレットを「完全にゴミ」と批判し、大手プロバイダーの中ではLedgerが最悪だと述べました。これは、January 10に、被害者がソーシャルエンジニアリング詐欺でビットコインとライトコインを合わせて2億8200万ドル超失った事件を受けてのことです。この攻撃では、約205万LTCと1,459BTCが使われ、犯人は盗んだ資金を即時交換（インスタント・エクスチェンジ）でMoneroに換え、Thorchainを使ってBitcoinをネットワーク間で移送したと、Wu BlockchainとThe Defiantの報道が伝えています。ZachXBTの発言は、ハードウェアウォレットを使うという一般的な暗号資産のセキュリティ推奨に異議を唱えるもので、これらのデバイスは、運用上のセキュリティ不備、フィッシング攻撃、サプライチェーンの漏えい、ソーシャルエンジニアリング手口からユーザーを守れないと主張しています。
ZachXBTがJanuary 10日の2億8200万ドル盗難をソーシャルエンジニアリングに結び付ける
ZachXBTは、The Defiantが「ハードウェアウォレットの利用者が2億8200万ドル超相当のビットコインとライトコインを失った」と報じたJanuary 10日の盗難に言及しました。この攻撃では、約205万LTCと1,459BTCが使われました。犯人は、盗んだ資金を即時交換でMoneroに換え、Thorchainを使ってBitcoinをネットワーク間で移したと報じられています。Wu Blockchainによって伝えられ、Xでも再共有されたZachXBTのコメントは、彼が盗難の詳細を調べた後に出たものです。報じられた攻撃は、ハードウェア端末の暗号技術が破られたのではなく、ソーシャルエンジニアリング詐欺だと説明されています。
Ledger、Global-e決済プロセッサー経由のデータ侵害に直面
1月に、Bit2MeはZachXBTが、Ledgerの販売プロセスで使われる外部決済プロセッサーGlobal-eに関連するLedgerのデータ露出について警告していたと報告しました。侵害により、氏名、メールアドレス、電話番号、物理的な住所といった個人情報が公開されました。報告では、ユーザーの秘密鍵や資金は直接的には侵害されていないとしています。Ledgerはまた、フィッシング・キャンペーン、偽造デバイス、偽のLedger Liveアプリ、そしてLedger Recover機能をめぐって長年厳しく精査されてきました。同社は繰り返し、自社のデバイスは秘密鍵を安全に保つよう設計されていると述べています。
ハードウェアウォレットは人間のセキュリティ上のリスクに対処できない
ZachXBTの批判は、デバイスの暗号技術ではなく、運用面のセキュリティの穴に焦点を当てています。ハードウェアウォレットは、シードフレーズと取引の署名が、インターネット接続されたデバイスから切り離されるため、ソフトウェアウォレットより安全だとして宣伝されています。とはいえZachXBTは、ハードウェア端末は、ユーザーがフィッシングサイトにシードフレーズを入力するのを止められず、悪意のある取引への承認、偽造デバイスの購入、そしてベンダーや決済プロセッサーを通じて個人データが漏えいしたことによる標的化を阻止できないと主張しています。犯罪者がその人がハードウェアウォレットを購入したと知れば、カスタマイズしたフィッシングメール、偽のサポートメッセージ、SIMスワップの試み、あるいは物理的な脅迫で狙うことができます。大口保有者についてのZachXBTの評価では、自己管理（セルフカストディ）には、マルチシグウォレット、別個の署名デバイス、アドレスの許可リスト、取引のシミュレーション、専用のオフライン機器、そしてシードフレーズを端末以外の場所で入力しないための厳格なルールが必要だと示唆されています。
よくある質問
ZachXBTはハードウェアウォレットについて何と言いましたか？
ZachXBTはハードウェアウォレットを「完全にゴミ」と呼び、使うことは勧めないと述べたうえで、Wu Blockchainが伝えたソーシャルメディアの投稿によれば、Ledgerは大手プロバイダーの中で最悪だとしています。
ZachXBTが言及したJanuary 10日の盗難で、どれくらいの暗号資産が盗まれましたか？
ZachXBTが言及したJanuary 10日のソーシャルエンジニアリング詐欺で、被害者は2億8200万ドル超相当のビットコインとライトコインを失いました。The Defiantの報道（ZachXBTを引用）によると、約205万LTCと1,459BTCが含まれていました。
Ledgerのデータ侵害で、どのような個人情報が公開されましたか？
Global-eの決済プロセッサーを通じた侵害では、Ledgerの顧客の氏名、メールアドレス、電話番号、物理的な住所が公開されました。ただし、ユーザーの秘密鍵や資金は直接的には侵害されていないと、1月のZachXBT警告に関するBit2Meの報道で述べられています。
