Ledger Connect Kit Hack

Ledger Connect Kitは、Ledgerが作成したコードで、多くの暗号資産ウェブサイトが、訪問者にLedgerのハードウェアウォレットを接続してもらうために使っていました。2023年12月14日、攻撃者は、このコードを公開するためのアカウントへのアクセス権が削除されないままになっていた元Ledger従業員をフィッシングで狙いました。攻撃者はそのアクセス権を使って、悪意のあるバージョンのConnect Kitを公開しました。ウェブサイトは自動的に最新バージョンを読み込んでいたため、悪意のあるコードはSushiSwapやRevoke.cashを含む多くの人気の暗号資産ウェブサイトに広がり、訪問者に資金を攻撃者に渡してしまう偽のリクエストを表示しました。

資金はおよそ10:30から13:20 UTCまでの間に活発に抜き取られ、Ethereum、BNB Chain、Polygon、Arbitrum、Optimism、Avalanche、Baseで約61万ドルが盗まれました。Ledgerは報告を受けてから約40分後にクリーンなバージョンをリリースし、WalletConnectは攻撃者が資金の抜き取りに使っていた不正な設定を無効化し、Tetherは盗まれたUSDTのうち約2万7000ドルを凍結しました。SushiSwapやRevoke.cashなど多くのウェブサイトはすぐにオフラインにしてライブラリを削除しましたが、対応に時間がかかったサイトもありました。Ledgerは被害を受けたユーザーへの補償を約束し、法執行機関と協力して攻撃者の追跡を進めました。

この攻撃はLedgerのハードウェアウォレットやLedger Liveアプリには影響せず、影響を受けたのはこのライブラリを使っていたウェブサイトだけでした。2023年12月14日のおよそ10:30から13:20 UTCまでの間に何らかの暗号資産ウェブサイトを使った方は、掲載されているアドレスを承認していないか確認し、承認していれば取り消してください。被害を受けたユーザーは、補償についてLedgerのサポートに問い合わせることができました。なお、掲載されているアドレスの一部は、他のフィッシングキャンペーンにも使われた汎用的なドレイナーのインフラなので、一致しても今回のハッキングの被害を受けたとは限りません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。