偽のLedgerアプリがミュージシャンの退職金5.9BTCを不正に流出させる

米国のミュージシャンが、仮想通貨ウォレットを装った悪質なアプリケーションをインストールしたことで、約42万ドル相当の5.9ビットコインを失った。この事例は、偽アプリやシードフレーズの盗難に関連する根強いリスクを浮き彫りにしている。

G. Love & Special Sauceの「G. Love」として知られるギャレット・ダットン氏は、新しいコンピューターをセットアップしている際に、Apple App StoreからLedgerの公式ウォレットインターフェースと思われるものをダウンロードしたと述べた。

アプリケーションを起動した後、彼は24単語の復旧用シードフレーズを入力したが、これにより攻撃者は彼のウォレットに完全にアクセスできてしまった。約10年かけて貯めた資金は、ほぼ瞬時に引き出されてしまった。

ブロックチェーン調査員のZachXBTは、盗まれたビットコインを追跡し、資産が9回の取引を経てKuCoinに関連付けられた入金アドレスに送金されたことを報告した。これは、取引の痕跡を隠蔽しようとする試みを示している。

今回の事件は、Ledgerのハードウェアウォレットへの不正アクセスによるものではありません。むしろ、正規のウォレットアプリケーションを模倣した偽のソフトウェアにユーザーが機密情報を入力させられるという、よくある攻撃パターンに沿ったものです。

Ledgerは、アプリやサポートチャネルを通じてシードフレーズを要求することは決してなく、そのような情報を要求するメッセージはすべて詐欺として扱うべきだと繰り返し警告している。

近年、偽のウォレットアプリに関する同様の事件が報告されており、偽バージョンがプラットフォームの審査プロセスを回避し、多くのユーザーを失う結果となったケースも含まれている。

今回の事件は、増加の一途をたどる仮想通貨関連詐欺の件数に新たな数字を加えるものだ。連邦捜査局（FBI）のデータによると、米国における仮想通貨詐欺による損失は2025年には113億6000万ドルに達し、その大半は投資詐欺によるものだという。

今回の事件は、自己管理型の資産管理における重大なリスクを浮き彫りにしている。自己管理型資産管理では、資産の管理が秘密鍵のセキュリティに完全に依存しており、一度の漏洩で取り返しのつかない損失につながる可能性がある。