暗号資産界隈に長くいるけど、これ以上に悪質な盗み方は見たことがない。ハッカーはコードを書く必要すらない。ハードウェアウォレットの中には、もともとeSIMカードがはんだ付けされている

実際のユーザーが味わった地獄：6月に6万5000ドルでビットコイン80枚を底値買いし、1週間前にLedgerへ移した。今日、残高はゼロに。含み益138万ドルも、元本ごと水の泡

過去24時間でMistTrackが追跡した関連被害額は、すでに約9000万ドルに迫っている。Tetherは関係するアドレスのUSDT凍結を開始。マウントゴックスの元CEO、Mark Karpelèsは自らマレーシアで購入したLedgerを分解し、画面の緩衝材の位置には、LTE通信・アンテナ・eSIM・マイクロコントローラーを備えたスパイ用ハードウェアがはんだ付けされているのを発見した。シールは純正で、シュリンク包装も intact。分解しなければ異常には気づけない

/

❚ 盗難の仕組みは、想像以上に単純

ハードウェアウォレットが安全な理由、その核心はたった二文字――隔離

  • 秘密鍵はチップ内にあり、デバイスの外には出ない

  • 署名はデバイス内で完結する。ネットにつながるのはホスト側であって、ウォレット本体ではない

今回の攻撃は、この前提を根底から崩した。仕込まれたマイクロコントローラーはLedgerのSPIバスにつながっていて、画面に表示される文字を読み取れる。シードフレーズの初期化画面では、ちょうど24個の単語が一つずつ表示される。モジュールはLTE経由でその文字を外部に送信する。攻撃者がシードフレーズを手に入れれば、あとはパスワードの強度も使い方も関係ない。都合のいいタイミングを待って、一気に資産を空にするだけ

かみ砕いて言うと、あなたは孤立した金庫とやり取りしているつもり。でも金庫の下にはスマホが隠れていて、表向きは何事もないようにしながら、画面に何が表示されるか全部見ている

❚ Ledgerのこれまでのセキュリティ史

暗号資産界隈に長くいる人なら、Ledgerの過去のトラブルは見覚えがあるはず。時系列で振り返ってみよう ⬇️

1/ 2018年：初期のハードウェア研究で脆弱性を発見

  • 研究者が、Nano Sは出荷前に改ざん可能で、MCUのブートローダーを迂回できると実証

  • 研究段階の問題が多く、主に公式が修正。実際の被害はほとんどなかった

2/ 2020年：ECデータベースの大規模流出

  • メールアドレス100万件以上、顧客の氏名・電話番号・住所27万件以上が公開された

  • ハードウェアと秘密鍵に問題はなかったが、その後何年にもわたってフィッシングメールや偽の公式通知が絶えなくなった

3/ 2023年12月：Connect Kitのサプライチェーン攻撃

  • 元従業員がフィッシングに遭い、npmアカウントを乗っ取られた。悪意あるバージョンが、そのライブラリに依存するすべてのDAppに注入された

  • わずか2時間で48万〜60万ドルが盗まれた

  • ハードウェアに問題はなかった。でも、フロントエンドの依存関係もリスクの入口になり得ると、誰もが初めて気づいた

4/ 2026年1月：第三者Global-eの注文データが再び流出

  • いつもの問題が、フィッシングの生態系をさらに育てる

5/ 2026年4月：App Storeの偽Ledger Live詐欺

  • ユーザーをだまして24語のシードフレーズを入力させ、1週間で50人以上から950万ドルを盗んだ

  • 今回の事件が起きる前では、単独の被害額として過去最大だった

6/ 2026年8月：イーサリアム署名の脆弱性 LSB-023

  • 悪意あるホストとの組み合わせでClear Signingを回避できるが、実際に悪用された証拠はない

7/ 2026年10月9日：CryptoBillisサプライチェーン攻撃

  • 追跡された被害額は約9000万ドル。前回の記録のほぼ10倍

はっきりしたパターンがある。これまでの事件は、メタデータが漏れるだけか、ユーザーが自分からバカなこと（偽アプリのインストールや、シードフレーズの入力）をする必要があった。でも今回は、シードフレーズを一度も手元から離していないし、デバイスもネットにつないでいない。手順もすべて正常。それなのに、お金が消えた

❚ なぜ東南アジアが狙われたのか

CryptoBillisはLedger公認の東南アジア販売代理店。公式サイトで注文するより安く、届くのも早くて、国際配送も不要。東南アジアの暗号資産界隈ではよくある購入方法で、私のバンコクの友人にもこのルートで買った人が何人もいる

サプライチェーン攻撃の恐ろしいところは

  • Ledger本体を突破する必要はない

  • ユーザーのミスも必要ない

  • 販売代理店のどこか一つの拠点を押さえれば、大規模に悪事を働ける

LedgerはすでにCryptoBillisに販売と出荷の停止を要請し、過去90日以内にこの販売ルートでデバイスを購入したユーザーには、資産を速やかに移すよう勧めている。ただ、何台が流通したのか、被害に遭った販売代理店がここだけなのかは、公式も確認できていない

❚ 実践的なアドバイス

仕組みの話はここまで。実際に役立つ話をしよう

1/ ハードウェアウォレットは公式サイトから直接買うこと。第三者経由は避ける

  • 大物インフルエンサーの紹介リンク、販売代理店、淘宝、閑魚、知人に買ってきてもらう方法など

  • その程度の金を節約するくらいなら、いっそデバイスを燃やしたほうがマシ

2/ デバイスを受け取ったら、付属のシードフレーズカードは絶対に使わず、新しく初期化する

  • Ledger公式サイトのGenuine Checkで厳密に確認する

  • 必要なら公式に返送して物理検査を受ける

3/ 大きな資産は分散して保管

  • 一つのウォレットに全財産を入れない

  • マルチシグや複数アドレスに分散し、単一障害点を狙うコストを上げる

4/ ウォレットを定期的に入れ替える

  • 今日問題がなくても、3年後も大丈夫とは限らない

  • アカウントの鍵を交換するようなもの

5/ MistTrackやSlowMistなどの機関によるリアルタイム監視をこまめにチェック

  • 事件の発生から追跡されるまでには時間差がある。早めにウォレットを替えれば、助かることもある

/

ひと言でまとめると、今回いちばん恐ろしいのは被害額ではない。「ハードウェアウォレットは安全」という前提そのものが書き換えられたことだ

これまでは、自分がヘマをしなければ資産は安全だと思っていた。これからは、もう一つ付け加えなければならない。買ったもの自体が、自分の思っていたものと違う可能性がある

正直、この記事を書き終えたら、自分もLedgerをしまって別のブランドに乗り換えたくなった。相場だけでもクソみたいなのに、こんな話でさらにビビらされるなんて

（本記事はMistTrack、Mark Karpelèsの公開情報、およびLedgerの過去の発表をもとに整理したものです。いかなる助言も含みません。ご自身でご確認ください）