あなたのハードウェアウォレットを救うには？
Ledgerで過去最大のセキュリティ事故が発生。被害額は約9,000万ドルで、今後さらに増える可能性があります。
1⃣ 販売店が「手を加えた」ものを販売
東南アジアの正規販売店CryptoBilisが販売したLedger端末に、スパイモジュールが仕込まれていた疑いがあります。Ledgerは同販売店に販売停止を要請し、過去90日以内にこの販売ルートから端末を購入したユーザーに、直ちに資産を移すよう勧告しました。
いまだに某東や某宝などのプラットフォームでハードウェアウォレットを買うのは、勉強代を払うようなものです。
2⃣ 最大の被害者が判明：80 BTCがゼロに
Lookonchainの監視によると、あるユーザーは6月に1BTCあたり6万5,000ドルで80 BTCを底値買いしました（投資額は約520万ドル、一時は138万ドルの含み益）。1週間前にCryptoBilisからLedgerを購入し、長期保有するつもりで全コインを移したところ、まさかの事態に。今や80 BTCはすべて失われました。
また、TY24Yaというアドレスのユーザーは3週間前にCryptoBillisからLedger端末を購入し、そこに700万USDTを入金しましたが、現在その資金はすべて盗まれています。
3⃣ シードフレーズをオフラインで生成しても無意味
Mt.Goxの元CEO、Mark KarpelèsがLedgerを分解し、その理由を公開しました。
問題の端末はマレーシアから出荷されたもので、外装のシュリンク包装に異常はなく、見た目では何も分かりません。
スパイモジュールは画面の緩衝パッド部分に隠されていました。LTE通信モジュール、アンテナ、eSIM、そしてSPIバスに接続されたマイクロコントローラーです。
画面上でシードフレーズを設定した瞬間に読み取られ、外部へ送信されます。あとは攻撃者があなたのアドレスを監視し、多額の資金が入金されたらすぐに送金するだけです。
4⃣ Ledgerの過去の不祥事
2020年、100万人を超える顧客のメールアドレスが流出。
2023年、Connect Kitのサプライチェーン攻撃。
今年4月、偽アプリによって950万ドルが盗まれました。
今回の9,000万ドルは、過去最大の事件の約10倍です。
5⃣ 絶対に守るべき4つのルール
a) すぐに確認：過去90日以内にCryptoBilis、または公式以外の販売ルートからLedgerを購入した人は、ためらわず、ただちに資産を新しいウォレットに移してください。
b) 購入は公式サイトのみ。販売店、中古品、「200元安い」商品は避けましょう。
c) 開封時に必ず確認：開封防止シールが完全な状態か確認し、Ledger Liveの真贋確認（genuine check）も実行してください。
昨夜のCZのアドバイス：新しいウォレットは数週間様子を見てから大口の資金を移し、その間はセキュリティ関連のニュースを注視しましょう。
d) 卵を一つのカゴに盛らない：80 BTCを一台の端末にすべて預けるのは、まさに悪い見本です。大口資産はマルチシグや複数のウォレットに分散し、シードフレーズは手書きでオフライン保管。写真撮影も、ネット接続も、他人に教えることも絶対に避けましょう。
ハッカーはすでに資金洗浄を開始しています。107万ドル相当のETHがTornado Cashに送金され、一部の資金はBinanceのホットウォレットに流入しました。
2026年上半期、暗号資産業界では182件のセキュリティ事故が公表され、被害額は約9億5,600万ドルに上りました。
しかし、慢霧の統計によると、盗まれた資金の回収または凍結に成功したのはわずか18件で、合計約1億1,800万ドル。総被害額の12.3%にすぎません。盗まれた資金の約9割は、闇に消えています。
なぜ取り戻せないのでしょうか？
今や暗号資産のマネーロンダリングは「いたちごっこ」がさらに激化し、完全に形勢が逆転しています。
上半期、プライバシープロトコルへの資金流入は約9億7,400万ドルで、そのうちTornado Cashだけで71%を占めました。資金が一度ミキサーに入れば、取り戻すのはほぼ不可能です。
Tetherはすでに事件に関係するアドレスの一部USDTを凍結しました。昨夜はCZ自ら業界全体に回収への協力を呼びかけましたが、効果は大きくありません。
ハッカーのウォレットには現在も約1,090万USDTが残っています。すでに430.2 ETHをTornado Cashに送金し、一部のUSDTは凍結を逃れるためUSDDに交換しました。
今回のLedger盗難資金も、回収できる可能性は低そうです。
Ledgerで過去最大のセキュリティ事故が発生。被害額は約9,000万ドルで、今後さらに増える可能性があります。
1⃣ 販売店が「手を加えた」ものを販売
東南アジアの正規販売店CryptoBilisが販売したLedger端末に、スパイモジュールが仕込まれていた疑いがあります。Ledgerは同販売店に販売停止を要請し、過去90日以内にこの販売ルートから端末を購入したユーザーに、直ちに資産を移すよう勧告しました。
いまだに某東や某宝などのプラットフォームでハードウェアウォレットを買うのは、勉強代を払うようなものです。
2⃣ 最大の被害者が判明：80 BTCがゼロに
Lookonchainの監視によると、あるユーザーは6月に1BTCあたり6万5,000ドルで80 BTCを底値買いしました（投資額は約520万ドル、一時は138万ドルの含み益）。1週間前にCryptoBilisからLedgerを購入し、長期保有するつもりで全コインを移したところ、まさかの事態に。今や80 BTCはすべて失われました。
また、TY24Yaというアドレスのユーザーは3週間前にCryptoBillisからLedger端末を購入し、そこに700万USDTを入金しましたが、現在その資金はすべて盗まれています。
3⃣ シードフレーズをオフラインで生成しても無意味
Mt.Goxの元CEO、Mark KarpelèsがLedgerを分解し、その理由を公開しました。
問題の端末はマレーシアから出荷されたもので、外装のシュリンク包装に異常はなく、見た目では何も分かりません。
スパイモジュールは画面の緩衝パッド部分に隠されていました。LTE通信モジュール、アンテナ、eSIM、そしてSPIバスに接続されたマイクロコントローラーです。
画面上でシードフレーズを設定した瞬間に読み取られ、外部へ送信されます。あとは攻撃者があなたのアドレスを監視し、多額の資金が入金されたらすぐに送金するだけです。
4⃣ Ledgerの過去の不祥事
2020年、100万人を超える顧客のメールアドレスが流出。
2023年、Connect Kitのサプライチェーン攻撃。
今年4月、偽アプリによって950万ドルが盗まれました。
今回の9,000万ドルは、過去最大の事件の約10倍です。
5⃣ 絶対に守るべき4つのルール
a) すぐに確認：過去90日以内にCryptoBilis、または公式以外の販売ルートからLedgerを購入した人は、ためらわず、ただちに資産を新しいウォレットに移してください。
b) 購入は公式サイトのみ。販売店、中古品、「200元安い」商品は避けましょう。
c) 開封時に必ず確認：開封防止シールが完全な状態か確認し、Ledger Liveの真贋確認（genuine check）も実行してください。
昨夜のCZのアドバイス：新しいウォレットは数週間様子を見てから大口の資金を移し、その間はセキュリティ関連のニュースを注視しましょう。
d) 卵を一つのカゴに盛らない：80 BTCを一台の端末にすべて預けるのは、まさに悪い見本です。大口資産はマルチシグや複数のウォレットに分散し、シードフレーズは手書きでオフライン保管。写真撮影も、ネット接続も、他人に教えることも絶対に避けましょう。
ハッカーはすでに資金洗浄を開始しています。107万ドル相当のETHがTornado Cashに送金され、一部の資金はBinanceのホットウォレットに流入しました。
2026年上半期、暗号資産業界では182件のセキュリティ事故が公表され、被害額は約9億5,600万ドルに上りました。
しかし、慢霧の統計によると、盗まれた資金の回収または凍結に成功したのはわずか18件で、合計約1億1,800万ドル。総被害額の12.3%にすぎません。盗まれた資金の約9割は、闇に消えています。
なぜ取り戻せないのでしょうか？
今や暗号資産のマネーロンダリングは「いたちごっこ」がさらに激化し、完全に形勢が逆転しています。
上半期、プライバシープロトコルへの資金流入は約9億7,400万ドルで、そのうちTornado Cashだけで71%を占めました。資金が一度ミキサーに入れば、取り戻すのはほぼ不可能です。
Tetherはすでに事件に関係するアドレスの一部USDTを凍結しました。昨夜はCZ自ら業界全体に回収への協力を呼びかけましたが、効果は大きくありません。
ハッカーのウォレットには現在も約1,090万USDTが残っています。すでに430.2 ETHをTornado Cashに送金し、一部のUSDTは凍結を逃れるためUSDDに交換しました。
今回のLedger盗難資金も、回収できる可能性は低そうです。