LedgerセキュリティチームがAndroidの脆弱性を発見、45秒で暗号通貨ウォレットのシードフレーズを抽出可能

Ledger傘下のセキュリティ研究チームDonjonは、MediaTekプロセッサのセキュアブートチェーンに存在する脆弱性を発見した。攻撃者は物理的に端末に触れることで、OS起動前にUSB接続を介して暗号化キーを抽出可能であり、これによりデバイスのストレージを復号化。約45秒で端末のPINコードや暗号通貨ウォレットのシードフレーズを取得できる。概念実証テストでは、この脆弱性によりTrust Wallet、Kraken Wallet、Phantomなどのウォレットアプリから機密データが抽出された。研究者によれば、この脆弱性はMediaTekチップとTrustonic信頼実行環境（TEE）を採用する機種の約25%のAndroidスマートフォンに影響する可能性がある。Ledgerの最高技術責任者（CTO）Charles Guillemet氏は「スマートフォンは金庫として設計されたものではない」と指摘。この脆弱性はパッチで修正可能だが、非安全デバイスでの鍵保管には固有のリスクが存在することを示しており、ユーザーは速やかにセキュリティパッチを更新すべきだと勧告した。TRM Labsのデータによると、2025年上半期に盗まれた21億ドル相当の暗号資産のうち、80%以上が秘密鍵窃盗、リカバリーフレーズ盗難、フロントエンドハイジャックなどのインフラ攻撃に起因している。Chainalysisのデータによると、2024年通年の暗号資産盗難被害額は34億1000万ドルを超え、個人ウォレットの被害割合は2022年の7.3%から2024年には44%に上昇した。