仮想通貨

ハードウェアウォレットでもハッキングの被害！？そのリスクについて解析

2018.02.21

皆さんは、販売所や取引所で購入した暗号資産をどこで保管していますか？
そのまま販売所や取引所に預けてますでしょうか。
先日あったコインチェック事件より、保管場所はウォレットの方が良いという見解もありました。
しかし、ハードウェアウォレットも絶対に安全な暗号資産の保管場所というわけではないようです。注意喚起致します。

ウォレットとハードウェアウォレットの関係性について

では、そもそもウォレットとハードウェアウォレットは何が違うのでしょうか。
確認していきましょう。

ウォレットとは

まず、ウォレットというのは、ビットコイン(Bitcoin）等の暗号資産の保管や取引を行うための「財布」のことを言います。
そして、そのウォレットには大きく分けて5種類のウォレットがありますが、そのうちの１つがハードウェアウォレットです。

ハードウェアウォレットとは

ハードウェアウォレットは、 USBフラッシュメモリーのように扱え、セキュリティが高いウォレットです。
例えば：Ledger-Nano
URL：https://www.ledgerwallet.com/
イーサリアムも保管できるのが特徴です。
他のウォレットに比べて機能面では劣るものの、安くて、軽いのがメリットのようです。
ウォレットについて詳しい内容はこちらをご覧ください。
ビットコイン(Bitcoin)のウォレット（wallet）はどこを使うべきか：
https://coin-otaku.com/topic/551?id=2705

ハードウェアウォレットの仕組み

それでは一体、ハードウェアウォレットはどのような仕組みになっているのでしょうか。
実は、ハードウェアウォレットの仕組みはとても単純です。
USBを繋ぐハードウェアウォレット本体に暗号資産がはいっているわけではありません。
ハードウェアウォレット本体には、暗号資産にアクセスするための秘密鍵が暗号化され、データとして存在しています。
暗号資産の送受金には、暗号資産のアドレスとこの秘密鍵が一致しないと送金できない仕組みになっています。
そのため、秘密鍵自体をハードウェアウォレットに保管して、物理的にインターネットの通信環境から切り離しておくことができるのが、このハードウェアウォレットの存在意義です。
今まで、このハードウェアウォレットが、とても安全ということが言われていましたが、どうやらそうではなかったようです。

絶壁のハードウェアウォレットの脆弱性

マルウェアに感染したパソコンを使ってレッジャーウォレットへビットコイン受取アドレスを生成しようとする際、「中間者攻撃」と呼ばれるセキュリティ侵害が起こる可能性がある。マルウェアがアドレス生成のためのコードを改編し全ての入金がハッカーに送られてしまうという。
引用元：THE COINRELEGRAPH レッジャー社のハードウェアウォレットに脆弱性「中間者攻撃」で資金流出リスク(2018年2月6日)より

この今まで絶対防御を誇っていた、レッジャー社のハードウェアウォレットに大きな穴があることが発覚しました。そもそもすでにマルウェア（ウイルスやトロイの木馬など）に感染したパソコンに関しては、受取アドレスを生成しようとする際、「中間者攻撃」と呼ばれるセキュリティ侵害が起こる可能性があるとのことです。
https://twitter.com/cn5151/status/961094340377481216?id=2708
https://twitter.com/KENNIII_168/status/960826538894610434?id=2709
https://twitter.com/1kk0km1llcb8/status/957537457116860416?id=2710
ツイッターでも、このハードウェアウォレットは絶対に安全ではないことが騒がれていました。
どうやらウォレットの脆弱性も明るみに出たようです。

中間者攻撃を防ぐ方法とこれから

以下の画面にある「モニター」ボタンを押し、ウォレット上のディスプレイに受取用アドレスを毎回表示して確認する方法だ。

　レッジャー社は、この手法は同社がユーザーに対して強制できるものではないとし、あくまでもユーザー自身が資金管理に責任を持つよう呼びかけている。

引用元：THE COINRELEGRAPH レッジャー社のハードウェアウォレットに脆弱性「中間者攻撃」で資金流出リスク(2018年2月6日)より

レッジャー社は、この中間者攻撃を防ぐ方法について上記の通り、公開しています。
しかし、これまでハードウェアウォレットは一番暗号資産という資産を守る上では有効的と言われていましたが、やはり絶対安全というわけではないようです。

今まではハッキング防止の対策として、
・メールアドレス、パスワードの使いまわしはしない
・2段階承認を必ずする(コインオタクでは24時間以内推奨）
・動かす予定の無い資金はウォレットに移す
をおすすめしてきました。
その中でもハードウェアウォレットは最強の防御とされてましたが、ついに破られてしまったのです。
自分の資産をいかに守るのか、それをウォレットに委ねるということは安易な考えかもしれません。
ハードウォレットがあるから大丈夫という考えは過信にすぎないでしょう。
ここでお伝えしたいことは、ウォレットにどれだけ強固なカギを作るかは、自分次第ということです。
今回のレッジャー社のハードウェアウォレットの場合は、受取用アドレスを毎回表示して確認すればハッキングを防ぐことができるようです。
このようにユーザー自身で責任を持ち、自分自身でしっかり対策を行うことが必要になるように思えます。
いづれにせよ、絶対に安全は保管方法はありません。
今後もしっかり自分の資産は自分で守る意識を絶やさないことが重要でしょう。