暗号資産（仮想通貨）をオフラインで管理する「ハードウェアウォレット」の製造企業は、提携する配送業者のシステムから顧客の個人情報が流出し、利用者が物理的な強盗などの新たな脅威にさらされていると発表しました。暗号資産をめぐるサプライチェーン（供給網）全体の脆弱性が浮き彫りになっています。
ハードウェアウォレットを製造する「Trezor」と「SafePal」によりますと、ここ数週間で、提携する配送業者がサイバー攻撃を受け、数千人規模の顧客データが流出したということです。流出した情報には、顧客の氏名、住所、メールアドレス、電話番号が含まれているとしています。
ハードウェアウォレット自体はインターネットから切り離されているため、機器自体の安全性が直接脅かされたわけではないということです。しかし、ハッカーはサプライチェーンを標的にすることで、多額の暗号資産を保有する人物の居住地などの個人情報を入手したとみられています。
氏名や住所が特定されたことで、利用者が暴力的な手段で「シードフレーズ（復元用のパスワード）」を奪われる物理的な被害に遭うリスクが高まっています。
こうした実社会での襲撃は「レンチ攻撃（武器の使用を意味する隠語）」と呼ばれ、富裕層の暗号資産を狙う犯罪グループの間で増加傾向にあるということです。ブロックチェーンのセキュリティー企業「CertiK」によりますと、2025年には数十件のレンチ攻撃が確認されており、前年比で75％増加しました。被害総額は4000万ドル（約62億円）以上に上るとしています。また、暗号資産の分析企業「チェイナリシス」も、今年の被害額を約3000万ドル（約46億5000万円）と推計しており、犯罪グループが誘拐や住居侵入を通じてシードフレーズを要求する手口が報告されています。
シードフレーズが漏えいすると、攻撃者はブロックチェーン上の暗号資産を完全に掌握することが可能になります。このため、TrezorとSafePalの両社は、電話番号やメールアドレスに送りつけられるフィッシング詐欺に対しても警戒を怠らないよう利用者に呼びかけています。
一方、今月初めには別のハードウェアウォレットを狙ったサイバー攻撃も発生しています。製造企業「Coinkite」が提供する「Coldcard」において、ハッカーがパスワードを推測し、1億3000万ドル（約201億5000万円）以上の暗号資産をブロックチェーン上から直接盗み出したということです。
身元が特定されていないハッカーは、機器がオフラインで生成する顧客のシードフレーズを予測する手法を用いたとみられています。機器やシードフレーズがインターネットに接続されたことがないにもかかわらず、ハッカーはパスワードを即座に生成し、資金を不正に引き出しました。
被害に遭った利用者の1人はSNS上で、「正しい手順を踏んでいたにもかかわらず、機器のプログラムに2021年から存在していた1行の脆弱性が原因ですべてが無意味になった」と訴えています。
