改ざん・偽造されたハードウェアウォレット：安全に購入する方法

偽のハードウェアウォレットとは、暗号資産を盗むために作られた偽造品や改ざんされたデバイスのことで、多くの場合、あらかじめ設定された復元フレーズ付きで届くか、あなたが作成したフレーズを密かに漏えいさせます。最も安全な対策はシンプルです。メーカーか正規販売店からのみ購入し、セットアップ時にデバイスを検証し、復元フレーズがすでに書かれた状態で届いたウォレットは絶対に使わないことです。

ハードウェアウォレットは秘密鍵をオフラインで保管するため、暗号資産を守る最良の方法の一つです。まさにその評判こそが、詐欺師が模倣する理由です。侵害されたデバイスは、他人があなたの鍵のコピーを持っている間も、偽りの安心感を与えます。

改ざん・偽造ウォレット攻撃の仕組み

いくつかのバリエーションがありますが、ほとんどは次の流れをたどります。

1. 1デバイスを入手または製造する。 詐欺師は本物のデバイスを購入して改造するか、人気ブランドに似せた偽造ハードウェアを製造します。
2. 2非公式チャネルで転売する。 マーケットプレイス、オークションサイト、SNS上のショップ、「格安」ストアがよくある経路です。
3. 3罠を仕掛ける。 パッケージに「復元フレーズ」が書かれたスクラッチカードとその使用を促す説明書が入っていたり、改造されたファームウェアがあなたの生成したフレーズを記録したりします。
4. 4あなたが資金を入金する。 デバイスが普通に見えるため、暗号資産を送金してしまいます。
5. 5攻撃者が資金を抜き取る。 復元フレーズを持っているため、自分のデバイスであなたのウォレットを復元し、すべてを移動できます。残高が大きくなるまで待つことも少なくありません。

関連する手口に、郵送による「交換用デバイス」詐欺があります。古いウォレットは安全ではないので交換が必要だと書かれた手紙とともに、頼んでいないデバイスが届くというものです。そのデバイスは、「移行」の際に入力した復元フレーズを盗むよう改造されています。この点は記事サプライチェーン攻撃で詳しく解説しています。

架空の例

このシナリオは手口を説明するための架空のものです。

プリヤさんが、有名なハードウェアウォレットのモデルを、公式ストアより明らかに安い価格でマーケットプレイスの出品で見つけたとします。箱は一見未開封に見えるパッケージで届き、「あなたの復元フレーズ — 大切に保管してください」と印刷されたカードに24個の単語が並んでいます。説明書には「より速く有効化するため」にセットアップ時にこれらの単語を入力するよう書かれています。あわせて読みたい：パスワードマネージャーと暗号資産。

プリヤさんは説明書どおりに進め、貯蓄をウォレットに送金し、何週間も問題なく見えました。ところがある日、残高が消えてしまいます。販売者はその24単語のコピーを手元に残していたのです。ブロックチェーンにもブランドの本物のデバイスにも問題はなく、罠はデバイスと説明書そのものでした。さらに詳しく知りたい方はウォレットの検証・同期詐欺をお読みください。

危険信号チェックリスト

• 箱の中、カード、または説明書に復元フレーズが含まれている。
• デバイスがすでにセットアップ済み、PINの作成を求めない、または既存のアカウントが表示される。
• 価格がメーカー価格を大きく下回っている。
• 販売者が公式サイトに正規販売店として掲載されていない。
• パッケージに再封の跡、破損したセキュリティシール、接着剤の残り、部品の欠品がある。
• 説明書がメーカー公式以外のウェブサイトやアプリへ誘導している。
• 頼んでいないデバイスが、資金の「移行」を急かす手紙とともに届く。
• 専用アプリの真正性チェックが失敗する、またはデバイスについて警告が出る。

ハードウェアウォレットを安全に購入・セットアップする方法

購入前

1. 1メーカーのウェブサイトには自分でアドレスを入力してアクセスしましょう。検索広告を使ったフィッシングに注意してください。
2. 2そのサイトで直接購入するか、その公式サイトに掲載された販売店から購入します。
3. 3知人からであっても中古デバイスは避けましょう。

届いたとき

セットアップ中

• デバイスに新しい復元フレーズを生成させ、自分でオフラインで書き留めましょう。
• 復元フレーズをパソコン、スマートフォン、ウェブサイトに入力してはいけません。
• ファームウェアの更新は公式アプリからのみ行いましょう。
• まず少額をテスト送金し、デバイスの画面で受取アドレスを確認しましょう。

ハードウェアウォレットのセットアップ方法のステップ別ガイドで全手順を解説しており、ハードウェアウォレットの選び方では購入前に確認すべき点を説明しています。

購入後に身を守る

• 復元フレーズはオフラインの安全な場所に保管しましょう。耐火・耐水のためにスチール製のシードフレーズバックアップも検討してください。
• 復元フレーズを求めるメッセージ、メール、手紙はすべて詐欺とみなしましょう。メーカーが尋ねることは決してありません。
• 購入情報は他人に明かさないようにしましょう。顧客データが漏えいすると、標的型フィッシングや郵送詐欺につながることがあります。
• 取引を承認する前に、デバイスの画面ですべてのアドレスを確認しましょう。

デバイスの侵害が疑われるときにすべきこと

1. 1疑わしいウォレットへの入金をやめる。
2. 2公式の入手先から本物のデバイスを入手するか、一時的に別の信頼できるウォレットを使う。
3. 3信頼できるデバイスでまったく新しい復元フレーズを作成する。
4. 4疑わしいウォレットから新しいウォレットへ、できるだけ早くすべての資金を移す。
5. 5販売者とデバイスの詳細を添えてメーカーに連絡する。
6. 6マーケットプレイスに、また必要に応じて警察や消費者保護機関に販売者を通報する。報告フォームから当サイトにお知らせいただくこともできます。

すでに資金が奪われている場合は、ウォレットが侵害されたときにすぐやるべきことに従ってください。

まとめ

ハードウェアウォレットの安全性は、そのサプライチェーンの安全性で決まります。メーカーか正規販売店から購入し、復元フレーズ付きで届いたデバイスや頼んでいないのに届いたデバイスは拒否し、公式の真正性チェックを実行し、自分のフレーズをオフラインで生成しましょう。このいくつかの習慣で、偽造・改ざんデバイスによるリスクのほぼすべてを取り除けます。