コールカードの不正アクセス被害、1億3000万ドルに…「Treasure」や「Foundation」を装ったフィッシング詐欺に注意喚起

コールドカードのファームウェアの脆弱性を悪用したフィッシング攻撃が急増しており、ハードウェアウォレットの製造会社であるTreasureとFoundationが相次いでユーザーに注意喚起を行いました。Treasureは、セキュリティインシデントの公表以降、フィッシングの試みが著しく増加していると述べ、ウォレットのバックアップはデバイス本体でのみ入力する必要があり、自社のハードウェア自体には影響がないと発表しました。Foundationも、自社を装って偽のサイトや悪性ファイルに誘導するメールが拡散されていると指摘し、自社が復号フレーズを要求したり、ウォレットのセキュリティのためにソフトウェアのインストールを指示したりすることはないと強調しました。 セキュリティ企業であるProofpointは、8月3日にコールドカードのユーザーを標的とした具体的なフィッシングキャンペーンを公開しました。攻撃者は、コールドカードのアドレスを偽装したメールを送信し、「協力ハードウェア監査」を完了するように要求し、あたかも正規のサイトであるかのように見せかけたクローンサイトに誘導します。「Start Hardware Audit」ボタンをクリックすると、GitHubにアップロードされたバッチファイルがダウンロードされ、それによって正規のリモートアクセスツールであるScreenConnectがインストールされます。Proofpointは、これにより攻撃者がデータや金融資産を盗んだり、ランサムウェアなどの後続の悪性コードを配布したりすることが可能になると説明しました。特に、偽サイト内の顧客相談チャットには、ボットではなく実際の人間が常駐しており、被害者を段階的にインストールプロセスへと誘導している点が、ユーザーのセキュリティに対する不安を利用した効果的なソーシャルエンジニアリングの手法であると評価されています。 この脆弱性の根本原因は、2021年3月のファームウェアのビルドにあります。そのビルドでは、ウォレットのシードを生成する際に、ハードウェア乱数生成器の代わりにソフトウェアのフォールバックが使用され、結果として秘密鍵が推測可能な状態になってしまいました。Galaxy Researchは、7月30日以降に3回にわたる盗難の事態を確認しており、高信頼度の損失額は1,596 BTCで、1億ドルを超えると発表しました。疑わしいものの、被害者の確認が取れていない4回目の事態を含めると、総被害額は1億3000万ドルに達する可能性があると推定されています。Galaxy Researchのリサーチヘッドであるアレックス・ソンは、最初の事態を除き、残りの事態はすべて被害者の報告によって把握されたと述べ、現在、少なくとも15人の個別の攻撃者がこの脆弱性を利用していると述べています。コールドカードの製造会社であるCoinKiteは、修正されたファームウェアを配布し、影響を受けたユーザーに対して、新たに生成されたシードを使って資金を移動するように推奨しています。 今回の事態は、ハードウェアウォレットのユーザーを標的としたフィッシング攻撃の最新の事例です。今年2月には、TreasureとLedgerのユーザーを対象に、ホログラムや偽の役員署名まで含まれた実物の郵便キャンペーンが行われました。4月には、偽のLedgerアプリによって数百万ドルが盗まれ、3月には、偽のGitHubのissueを利用して開発者を偽サイトに誘導する攻撃もありました。Galaxy Researchは、コールドカードの脆弱性が依然として進行中であると指摘し、保有者に対して、新しいシードまたはカストディアンに資金を直ちに移動することを促しています。脆弱性が解消されていないため、フィッシングキャンペーンの有効期間も長期化する可能性があるという点が懸念されています.