Ledger Donjonの最新記事への当社コメント
LFIは非常に精密なデカップやチップ特性把握・調整が必要で、失敗すればカードが使用不能になります。現実的な規模で実行できる攻撃ではありません。
この記事は次の言語でご利用いただけます：
本日、Ledger Donjonが当社ウォレットに関するレーザー故障注入（LFI）についての記事を公開しました。これは、チップに対する物理的かつラボ環境での攻撃手法です。当社でも内容を確認し、ユーザーの皆様が実際にどう捉えるべきか、追加の背景情報をお伝えします。
記事の主な内容は？
Ledger Donjonの指摘は、当社ファームウェアがLFI攻撃下で特定の状況をどう処理するかに関するものです。Donjon自身も「この（LFI）は簡単な攻撃ではなく、非常に多くのリソース・費用・専門知識・時間が必要」と述べています。
この攻撃を成立させるための具体的な要件についても、より詳細な説明がなされています。
具体的には、攻撃には以下が必要です：
- Physical access to one card（カード本体への物理的アクセス）。この攻撃は侵襲的であり、カードに痕跡が残ります。
- Highly specialized laboratory resources（高度に専門的なラボ設備）。レーザー故障注入装置やサイドチャネル計測機器、制御されたラボ環境が必要です。
- 攻撃の実施には、advanced knowledge of both software and hardware security（ソフトウェア・ハードウェア両面の高度なセキュリティ知識）が不可欠です。サンプル準備やサイドチャネル解析、認証済みセキュアエレメントへのレーザー故障注入などが含まれます。
- An extensive period of time for the initial attack（初期攻撃には長期間が必要）：攻撃環境の構築、サンプル準備、チップの特性把握（空間的な位置・タイミング・レーザーの各種パラメータ特定）などに時間を要します。
LFIを長年研究してきた独立系の学術研究者たちも簡潔に述べています：「十分な時間・資金・アクセス権があれば、どんなセキュアエレメント上のファームウェアも最終的にはリバースエンジニアリングされ、悪用され得る。」
No product on the market can claim absolute resistance to all forms of sophisticated physical attacks; this is an inherent limitation of the underlying technology rather than of any specific product or manufacturer. LFI attacks are not scalable, and for everyday users, the practical risk is virtually non-existent.
成功の可能性
Donjonによれば、情報抽出を成功させるには3つの独立した条件を同時に満たす必要があります：
- Spatial precision down to the correct transistors on the die（ダイ上の正確なトランジスタ単位での空間精度）、
- Temporal precision within a narrow window of a single instruction's execution（命令1つ分の極めて狭い時間幅でのタイミング精度）、
- Accurate parametric settings for laser power and pulse（レーザー出力やパルスの正確なパラメータ設定）。
これらは全て確率的な条件であり、その確率は掛け合わされます。1回のデモで3つ全てをクリアしても、それが再現性のある手法であるとは限りません。毎回カードを壊してしまうリスクも高く、記事内でもその点が認められています。
率直に言えば、カードの特性把握のために不特定多数のカードを壊す覚悟を持つ高度なラボ技術者だけが、理論上この攻撃を成功させ得ます。
リスクテーブル
Tangemカードを紛失し、LFI経由で資産が盗まれるまでに必要な一連のイベントをまとめました。
イベント | リスクレベル | |
|---|---|---|
1. | Tangemカードを紛失する | 高 |
2. | 必要な設備やラボを見つける | 低 |
3. | 有資格のスペシャリストを見つける | 極めて低い |
4. | 適切なラボを見つけ、専門家を説得して紛失・盗難カードを解析させる | ほぼ不可能。それ自体が犯罪行為となります。
|
攻撃の現実性
LFIにはカードの物理的入手、完全装備のラボ、数週間にわたる高度な作業、さらにカードが破損するリスクを受け入れる覚悟が必要です。
加えて、Tangemカードには所有者やウォレット残高を特定する情報が一切含まれていません。そのカードに$50入っているのか、$5,000万入っているのか、外部からは分かりません。
このため、攻撃者にとって期待値計算が成立しません。機材コストだけでも（Donjonによれば）25万ドルと高額で、リターンは不明・ゼロの可能性もあります。理性的な攻撃者がランダムなカードでこのようなリスクを取ることはありません。
セルフカストディにおける「セキュリティ」の本質
セルフカストディでは、資産を失う主な原因は「誰かに盗まれる」か「自分でアクセスを失う」かの2つです。どちらもセキュリティ上の失敗であり、優れたモデルは両方を考慮する必要があります。Tangemウォレットは、シードレス型とシードフレーズ型の2つのセットアップから選択できます。多くのユーザーがシードレス型を選ぶのには理由があります。
この設計は、ファームウェアが故障注入アラートをどう処理するかにも関わっています。シードフレーズ型ウォレットなら、ハードウェア攻撃の兆候があれば鍵を破棄しても、ユーザーはリカバリーフレーズで資産を復元できます。シードレス型の場合、同じ対応をすると、まれな誤検知でユーザー自身が資産にアクセスできなくなるリスクがあります。
当社ファームウェアは、実際にユーザーに損失をもたらしてきた脅威への対策を重視して設計されています。シードフレーズの漏洩による損失は数十億ドル規模です。River Financialの2025年調査によれば、セルフカストディの管理ミスによるBTCの損失は160万BTC（1,296億ドル相当）に上ります（ビットコインのみの数字です）。一方、これまでハードウェアウォレットに対するLFI攻撃によって実際に資産を失った事例は報告されていません。
本当に重要な脅威とは
当社は、日常的にユーザーの資産を脅かす攻撃ベクトルへの対策に注力しています。
- 操作ミスを誘発する分かりにくいUI
- 悪意あるdApps
- 正規のものに偽装した詐欺スマートコントラクト
実際にウォレットから資産が抜き取られるのは、こうした脅威であり、物理的入手や特殊機材を要するラボ攻撃ではありません。
2010年、研究者Christopher Tarnovsky氏がInfineon SLE 66 CL PE（EAL4+認証チップ、世界中の銀行カード・ID・SIMカード等で数億枚規模で導入）を突破しました。この攻撃は広く報道され、ハードウェアセキュリティ研究の金字塔となっていますが、実際に資産を失ったユーザーやID盗難などの被害は一切発生していません。ラボ攻撃の成功と、現実の被害との間には大きな隔たりがあります。
Tangemのスタンス
当社製品は、現実の攻撃シナリオに対して十分な安全性を備えており、今回の記事によってその事実が変わることはありません。
今後もユーザー資産を本当に危険にさらす脅威への対策に注力し、日々改善を続けていきます。
また、バグ報奨金プログラムも運営しており、Ledger関係者を含め誰でも参加可能です。万が一脆弱性を発見された場合は、ぜひご連絡ください。
