ハードウェアウォレットLedger、新ウォレット向けオフライン鍵復旧オプションがセキュリティ上の懸念を呼ぶ

Ledgerが新ウォレット向けオフラインリカバリキー機能を導入

ハードウェアウォレット開発等を手掛ける Ledger （レジャー）は、新しいウォレット向けに新しい鍵復旧機能を導入した。

Ledgerは、最新モデルであるFlexとStaxのロックを解除するための新しいハードウェアデバイスを発表。オフラインで秘密鍵を復元できる機能を導入し、一部のデバイスではセカンダリPINを利用できるようになる。

「リカバリキー（秘密鍵）」と呼ばれるこの新サービスはオプションで、以前リリースされたキーリカバリー製品「Ledger Recover」は異なり、クラウドベースのハードウェアセキュリティモジュールに暗号化されたリカバリーフレーズの断片を保存。対してLedger Recovery Keyは常にオフラインで、独自PINで保護されている。また、LedgerリカバリーキーはLedgerウォレットユーザーにとってオプションだが、Ledgerリカバリーのように本人確認や個人情報の収集は必要ない。

しかし、2023年、Ledgerは鍵の復旧のための新たな選択肢として、有料のクラウドベースソリューション「Ledger Recover」を導入。このサービスは、サードパーティへの懸念からコミュニティからの反発を受け、セキュリティ上の懸念を引き起こして一時的に停止されたが、その後も運用は継続されている

NFCを介してハードウェアウォレットとマスターシークレットを共有可能に

新リカバリキーは、マスターシークレットのコピーを格納したスマートカードで、シークレットリカバリフレーズの生成に使用され、近距離無線通信（NFC）を介してLedgerハードウェアウォレットとマスターシークレットを共有できる。

セキュアエレメントには耐タンパー性チップが搭載されており、マスターシークレットが漏えいしたり、ハードウェア経由で取り出されたりすることはない。Ledgerユーザーにリカバリ機能を提供するのは2度目の試みであり、デバイスがロックされたという複数の注目を集めた事例への解決策となる。しかし、このリカバリ機能は、セカンダリPINの悪用といった新たなセキュリティ上の問題も引き起こしている。この新サービスは、Ledger Recoverと併せて提供されるが、Ledger Recoverは匿名性を解除するサービスであり、KYC（本人確認）が必要となっている。

最近、仮想通貨業界関係者らをターゲットにした複数の誘拐事件が発生していることから、仮想通貨所有者の中には、自分の身元が仮想通貨の所有権と結び付けられることに依然として懐疑的な人もいる。また、Ledgerウォレットの所有者も標的にされており、その多くはデバイスのロック解除を迫られているほか、デバイス自体の紛失や悪用されるケースもある。