TrezorとBitBox、ハードウェアウォレットへの偽のセキュリティ警告について注意喚起

ここ数年の暗号資産で学んだことが一つあるとすれば、それはこうだ――問題はたいていハードウェアウォレットそのものではなく、その前にある人間だ。まさにそこを犯罪者たちが再び狙いを強めている。TrezorとBitBox（Shift Crypto）が警鐘を鳴らしており、それには十分な理由がある。
手口は昔からある定番だが、どうやら極めて危険だ。TrezorやBitBoxから直接届いたように見えるメールを受け取る。緊迫した口調で、明確に行動を促す。セキュリティインシデントがあった、ファームウェアが侵害された、あるいはアカウントを直ちに確認する必要があるというのだ。リンクをクリックすると、見事に本物そっくりのページに飛び、リカバリーフレーズ――コインを復元するための12語または24語――の入力を求められる。それを入力した者は、通常その瞬間に資金を失う。
BitBoxが突き止めたことは事態を厄介にする。どうやら複数のビットコイン企業が、同じニュースレター配信サービスを通じて標的にされたらしい。つまり、おそらくウォレット自体がハッキングされたのではなく、各社のメールチャネルがやられたのだ。Trezorはその後、自社のメールサービスに不正アクセスがあったことを認めている。攻撃者はこれによって実際の顧客アドレスを入手した可能性があり、今やより一層



説得力のあるフィッシングメールを送りつけている。
両メーカーは明確に言っているし、私も繰り返ししかない。まともな事業者がメール、電話、チャットでリカバリーフレーズを尋ねることは決してない。絶対にない。この単語群はコインへの唯一の鍵だ。それをデジタルで入力する者――どこであれ――はすべてを危険にさらす。こうしたメッセージが来たら、削除し、クリックしないこと。疑わしい場合は、公式ウェブサイトをブラウザで直接開いてそこで情報を確認する。
ウォレットの所有者にとって、これは新たな警鐘だ。デバイス自体は安全であり、秘密鍵がハードウェアから外に出ることはない。しかし人間が弱点であり続ける。フィッシングは暗号化ではなく、不注意を狙う。リカバリーフレーズをオフラインで保管し――紙や金属に――ブラウザ、アプリ、メールフォームに決して入力しない者は、この手口からほぼ守られている。
業界も対応している。暗号化された通信、アプリ内の警告、可能な限り二要素認証を導入している。それでも今回の事例は、フィッシングが依然として最大の脅威の一つであることを示している――犯罪者が簡単な手段で大量の顧客アドレスを手に入れられる限りは。つまり、ウォレットだけでなく、メールアカウントも守ること。そして予期しないセキュリティ警告には、まず基本的に疑いの目を向けることだ。