Ledger製ウォレットに不正な物理的改造、CryptoBilis販売端末から検出で販売一時停止へ
要点
-
暗号資産ハードウェアウォレット大手のLedgerは、代理店CryptoBilis経由で販売された端末から資産盗難が発生したとの報告を受け、同代理店を通じた製品販売を一時停止した。
-
調査対象となった被害端末の1台から、無許可で取り付けられた「ハードウェアインプラント」と呼ばれる物理的な改造部品が発見された。
-
匿名のブロックチェーン調査員によると、本件に関連した資金の流出被害は総額8,600万ドル以上に達すると指摘されている。
-
CryptoBilisは全在庫の販売を停止し、Ledgerは直近90日以内の購入者に対しセットアップの中止や資産の退避を呼びかけている。
-
暗号資産向けハードウェアウォレットを手がけるLedger（レジャー）社は、東南アジアの販売代理店CryptoBilis（クリプトビリス）が販売したデバイスに関連して多額の資産が不正流出したとの報告を受け、同社を通じた製品の販売を一時停止した。その後の調査により、被害を受けたユーザーの端末から不正に埋め込まれた物理的パーツが確認されたことが明らかになった。匿名の調査員の分析では被害規模が8,600万ドルを超えると伝えられており、両社は販売の差し止めやユーザーへの警告など対応を進めている。
東南アジアの購入者から多額の資金流出が発覚
事態の発端となったのは、東南アジア地域においてCryptoBilisから端末を購入した複数のユーザーから、ウォレット内の暗号資産が失われたという報告が寄せられたことだった。Ledger社は現地時間のある金曜日に、この問題に関する調査を開始したと公表している。
今回のインシデントによる被害規模について、匿名のブロックチェーン調査員である「Specter」氏は、盗難された資金の総額が8,600万ドル以上に達していると指摘した。ハードウェアウォレット（暗号資産を操作する秘密鍵をオフラインの物理デバイス内で安全に管理する機器）は本来、高いセキュリティを保つ仕組みとされているが、今回はその機器自体の信頼性が問われる事態となっている。
被害端末から無許可の「ハードウェアインプラント」を検出
その後の調査の進展に伴い、Ledger社は公式Xアカウントにおいて、被害に遭ったユーザーの端末の1台から、正規の製造工程では存在しない無許可の「ハードウェアインプラント」が発見されたことを公表した。ハードウェアインプラントとは、機器の内部回路や基板に対して不正なチップや部品を物理的に追加・改造する工作を指す。
同社はこの発見を受けて現在も調査を継続しており、影響を受けたとみられるユーザーに対して個別に連絡を取り、状況の把握を進めていると説明している。
CryptoBilisは全製品の販売を停止、初期設定の注意を喚起
この事態を受け、販売元であるCryptoBilisも厳戒態勢を敷いている。同社は万全を期すための予防的措置として、調査が完了するまでの間、自社が取り扱うすべてのハードウェアウォレット在庫の販売を停止した。
あわせてCryptoBilisは公式サイト上にアラートを掲載し、ユーザーに対して設定手順やセキュリティに関する注意を呼びかけている。同社が公表した案内によると、端末の復元や設定に用いる「リカバリーフレーズ」（資産アクセスを復元するためのパスフレーズ）は、セットアップ時に端末自体によって生成され、ユーザー本人が直接書き留めなければならないという。
もし手元に届いた製品にあらかじめカードや用紙へ印刷・記入されたリカバリーフレーズが付属していた場合や、本人以外の第三者がフレーズを目にした恐れがある場合には、そのウォレットを安全ではない状態と見なすよう強く求めている。また、同社やLedger社の担当者がユーザーにリカバリーフレーズやPINコードを尋ねることは決してないとし、他者と共有しないよう重ねて警告した。さらに、盗難された資産の回収を持ちかける勧誘についても、その大半が詐欺であるとして警戒を促している。
影響は「限定的」としつつ、Ledgerは返品再販の禁止と正規ルートの徹底を要請
2026年10月11日に投稿された続報の中で、Ledger社は本件の影響を受けたデバイスの数は「限定的」な規模にとどまっていると説明した。ただし、これまでに確認された被害事例はすべてCryptoBilisを通じて販売された端末に関連していることを認めている。
これに伴い、Ledger社は直近90日以内にCryptoBilisから製品を購入したユーザーに対し、まだ初期設定を行っていない場合はセットアップを開始しないよう強く求めている。また、すでに設定を完了してしまったユーザーに対しては、新たなシードフレーズ（秘密鍵の元データとなる文字列）を作成した別のLedger機器を用意し、資産を速やかに移行することを検討するよう案内した。
さらに同社は、代理店や販売業者に向けた運用指針として、製品は必ず正規の流通チャネルからのみ仕入れること、そして一度返品された製品を再び在庫に戻して再販（レストック）することは絶対に避けるよう勧告した。一般ユーザーに対しても、非正規のリセラーから購入した場合、Ledgerのセキュリティガイドラインに準拠しない不審な端末や偽造品、あるいは不正に改造された端末を手にしてしまう重大なリスクがあるとして、非正規ルートでの購入を避けるよう強く呼びかけている。