Ledger Connectに脆弱性、複数のDappsが攻撃に利用される。現在は修正済み

Ledger Connectの脆弱性により複数のDappsが攻撃に利用

暗号資産(仮想通貨)ハードウェアウォレット開発企業レジャー(Ledger)提供のソフトウェアライブラリの脆弱性が悪用された。レジャーが12月14日に発表した。これにより、多くのユーザーの資産がエクスプロイトを受けたことが分かっている。

悪用された脆弱性は「レジャー」が提供するデバイスを分散型アプリケーション(DApps)に接続する際に使用されるライブラリ「レジャーコネクトキット(Ledger Connect Kit)」。同ライブラリを利用すれば、レジャーデバイスをDAppsに接続するためのボタンの設置が可能になる。

「レジャー」の発表によると今回の悪用は、同社の元従業員がフィッシング攻撃を受けたことに起因したものだ。攻撃者が悪意のあるファイルをライブラリのファイルとしてアップロードしたことにより発生したとのことだ。

この悪用により、「レジャーコネクトキット」を採用したDAppsが攻撃に利用され、多くのユーザーの資産がエクスプロイトを受けたことがわかっている。

なお、このエクスプロイトによって流出した資産のうち、テザー社が発行するUSDTはすでに資金凍結したことがテザー社のCEOパオロ・アルドイノ(Paolo Ardoino)氏によって発表されている。

現在は、同ライブラリの悪意のあるバージョンがすでに削除され、修正が完了したバージョンである「1.1.8」の公開が完了している。しかし「レジャー」は各アプリケーションの対応には差があるため、明確なアップデート完了のアナウンスが行われるまでは注意が必要であるとの声も上がっている。

「レジャー」は12月15日、同社の公式Xアカウントにて攻撃を受けてから修正が行われるまでのタイムラインを公開している。

その投稿の中では「常にレジャーに明確な署名をするよう注意してください。レジャーの画面に表示されるのは、実際に署名したものです。ブラインド署名が必要な場合は、追加のレジャーミントウォレットを使用するか、トランザクションを手動で解析してください。現時点では、資金に影響を受けた可能性のある顧客と積極的に話し合い、それらの顧客を支援するために積極的に取り組んでいます。私たちは告訴を提出し、攻撃者を見つけるために法執行機関と協力して捜査を行っています」と述べられている。

関連ニュース

参考:レジャーブログ
images:iStocks/Myvector

関連するキーワード

この記事の著者・インタビューイ

田村聖次

和歌山大学システム工学部所属
格闘技やオーケストラ、茶道など幅広い趣味を持つ。
SNSでは、チェコ人という名義で、ブロックチェーンエンジニアや、マーケターとしても活動している。「あたらしい経済」の外部記者として記事の執筆も。

和歌山大学システム工学部所属
格闘技やオーケストラ、茶道など幅広い趣味を持つ。
SNSでは、チェコ人という名義で、ブロックチェーンエンジニアや、マーケターとしても活動している。「あたらしい経済」の外部記者として記事の執筆も。

合わせて読みたい記事

【5/29話題】アニモカJPらがIVVYのライブでweb3ロイヤリティプログラム、NTTデジタルがOpenWallet Foundation加盟など

アニモカJPと三井物産ら、IVVYのライブでweb3ロイヤリティプログラムのPoCへ、NTTデジタルが「OpenWallet Foundation」に加盟、民間企業で日本初、東証スタンダード上場メタプラネット、2.5億円分のビットコイン追加購入を予告、米ナスダック上場の医療機器メーカーSemler Scientific、約62億円相当のビットコイン購入、ブラックロック、2つのファンドで自社のビットコイン現物ETF「IBIT」を購入・運用、MRIと山陰合同銀行、「デジタル地域通貨事業」の共同実施へ。地域経済活性化に向け、暗号資産マイニング企業Riot Platforms、競合Bitfarms買収へ、イーサリアム「Pectra」アップグレード、25年Q1目標に開発へ