16日、暗号資産（仮想通貨）ウォレット「SafePal」で約4万人分の顧客情報への不正アクセスが公表されるなど、8月に入り、セルフカストディ（自己管理）を担う主要なハードウェアウォレット企業でインシデントの発覚が相次いでいる。
事象は「製品自体の不備による資産の流出」と「配送先など周辺システムからの個人情報漏洩」の2つに分かれており、各社が対応や注意喚起を進めている。
◆ Coldcard：鍵作成の不備で資産流出
カナダのCoinkiteが手掛ける「Coldcard」では、ウォレットの鍵を作る際の処理（乱数の生成）に不備があったことが判明した。
これにより第三者による鍵の復元が可能となり、大規模な資金流出が発生。最新の分析では、被害額が累計で最大約200億円（約2055 BTC）規模に拡大したと推計されている。
修正プログラムは公開されたものの、作成済みの脆弱な鍵自体は治らないため、利用者は新しい鍵を作り直して速やかに資産を退避させる必要がある。
◆ Trezor：配送委託先から顧客データ流出
「Trezor」は8月13日、商品の発送を委託していた企業（ShipMonk）のシステムが攻撃を受け、約1万4000人分の注文データ（氏名、住所、電話番号など）が流出したと発表した。
ウォレット本体や自社システムの安全性を直接脅かすものではないが、盗まれた情報を悪用した偽メールや詐欺攻撃（フィッシング）への警戒を呼びかけている。
◆ SafePal：注文追跡ツールで情報閲覧可能に
「SafePal」では8月16日、公式サイトの注文追跡ツールで設定不備があり、約4万人分の注文情報が第三者から見られる状態になっていたと発表された。
秘密鍵やウォレット内の資産への直接的な影響はないものの、同社は不審な連絡や偽のサポート、プログラム更新の案内などを装った詐欺への注意を求めている。
主なインシデントの比較
今月に入り相次ぐインシデントは、鍵を作る仕組みの欠陥による「暗号解読・資金奪取」と、通販や配送といった周辺システムを狙った「顧客情報の流出」に整理できる。
ハードウェアウォレットは、インターネットから切り離して資産を保管できることから「安全な自己管理の手段」として広く信頼されてきた。
しかし、これらのインシデントは、ハードウェアウォレットでもリスクを完全に防ぎきれない現実を示している。
｜文：栃山直樹
｜画像：Adobe Stock
