Ledgerは、東南アジアで発生した大規模な窃盗被害の被害者の一人が所有していたハードウェアウォレットに、不正なハードウェア部品が埋め込まれていたことを確認しました。

オンチェーン調査員は、数百のウォレットから8,600万ドル以上が引き出されたと推定しています。Ledgerによると、これまでに確認されたすべての事例で、CryptoBilisという単一の再販業者を通じて販売されたデバイスが関係しており、同社のシステムと直接販売チャネルには影響がないとのことです。

何が起きたのか

10月9日、CryptoBilisを通じてLedger製品を購入した顧客から、不正な取引があったとの報告が寄せられ始めました。CryptoBilisは、インドネシア、マレーシア、フィリピンでLedger製品を扱う正規再販業者です。オンチェーン調査員のtanuki42は、窃盗に使われた疑いのある複数のアドレスに7,200万ドル以上が移動していることを最初に指摘しました。

別の研究者Specterはその後、Bitcoin、Ethereum、Tronにまたがる資金の流れを追跡し、盗難の疑いがある額は8,600万ドルを超えるとしました。その後、MistTrackとArkham Intelligenceは金額を約9,000万ドルと推定し、一部の報道機関は300を超えるウォレットで合計約9,300万ドルに上る可能性があるとしています。

Ledgerはこれらの集計額を一切確認しておらず、推定されている盗難のすべてがCryptoBilisの顧客に関係するものかどうかも、依然として明らかになっていません。

被害者1人が失った金額

Lookonchainは、特に痛ましい事例の一つを紹介しました。その投資家は4カ月前、1BTCあたり約6万5,000ドルで80BTCを購入しました。購入額は約520万ドルで、含み益は約138万ドルに達していました。1週間前にCryptoBilisからLedgerを購入し、80BTCすべてをそこに移しました。Lookonchainによると、現在、その投資家はすべてを失っています。

Ledgerの対応

Ledgerは10月9日、調査のため、CryptoBilisにすべての販売と出荷を一時停止するよう求めました。また、過去90日以内にこの販売代理店からLedgerを購入し、まだセットアップを始めていない人には、セットアップを開始しないよう助言しました。

10月10日、Ledgerはさらに深刻な最新情報を発表しました。

「影響を受けたユーザーの端末のうち1台に、許可されていないハードウェアインプラントが含まれていたことをLedgerは確認しました。現在進行中の調査の一環として、影響を受けたユーザーに連絡しています。調査に関する情報をお持ちの場合は、Ledgerの懸賞金プログラム（bounty@ledger.fr）までご連絡ください。」

72時間後の最新情報で、Ledgerは関係当局と連携しており、影響を受けた端末の数は限られていると述べました。さらに、次のように付け加えました。

「現時点で、2026年10月9日に公表された資金流出事案に関して確認されたすべての事例は、東南アジアの販売代理店CryptoBilisを通じて販売された端末に関係しています。当社のシステムおよび直販チャネルに影響はありません。」

CryptoBilisは調査が終わるまで、ハードウェアウォレットの在庫全品の販売を停止しました。

研究者が内部から発見したもの

Ledgerが確認する前から、研究者たちは改ざんされた端末の調査を進めていました。Tibane Labsは、マイクロコントローラーと携帯通信機器を備え、ディスプレイ内部のデータラインに接続された端末について説明する技術白書を公開しました。セキュリティ関連の報道によると、Grand Idea StudioのJoe GrandやTibane Labsのチームを含む研究者たちは、侵害された端末をリバースエンジニアリングし、インプラントの3つのバージョンを特定しました。

報告されている仕組みでは、ユーザーが端末をセットアップする際に、インプラントがリカバリーフレーズを取得します。リカバリーフレーズとはウォレットを管理する12語または24語の単語列で、これを入手した者はどこからでもウォレットの資産をすべて引き出せます。これなら、被害者が取引を一度も承認していないのに資金を失った理由を説明できます。

重要な注意点として、Ledgerはインプラントが盗難を引き起こしたとは確認しておらず、正確な仕組みは現在も調査中です。この攻撃手法は研究者によって報告されたもので、Ledgerが確認したわけではありません。

CryptoBilisをめぐる疑問

研究者のMark Karpelèsに共有され、Tibane Labsが公開した声明によると、CryptoBilisは3月に経営体制を移行し、声明の作成者は現在、同社のシステムや顧客データベースを管理していないとのことです。この声明は、誰がいつ端末を改ざんしたのかを明らかにするものではなく、その点は未解明のままです。

これが従来とは異なる種類の攻撃である理由

今年の暗号資産盗難の大半は、取引所へのハッキング、スマートコントラクトの脆弱性を突く攻撃、またはフィッシングによるものでした。今回の攻撃は、ユーザーが端末に触れる前に、ハードウェアそのものを狙っています。これはサプライチェーン攻撃です。製品が工場から手元に届くまでのどこかで改変されるため、ユーザーが自分の側であらゆる対策を正しく行っていても、その防御をすり抜ける可能性があります。

また、この攻撃は、自己管理のなかでも最も信頼されているカテゴリーを標的にしています。ハードウェアウォレットは秘密鍵をオフラインで保管するため、暗号資産を保管する最も安全な方法として販売されています。しかし、未確認の販売元から購入した端末や、改変された端末は、その約束を損ないます。

Ledgerユーザーがすべきこと

Ledgerの案内と一般的なセキュリティ対策に従い、次のことを行ってください。

– 過去90日以内にCryptoBilisから購入し、まだ端末をセットアップしていない場合：電源を入れたり、初期化したりしないでください。 – CryptoBilisで購入した端末をすでに使用している場合：端末とリカバリーフレーズの両方を交換し、信頼できる端末で新しいウォレットを作成して資金を移してください。 – それ以外の方：ハードウェアウォレットはメーカーから直接、または公式に認証された販売経路で購入してください。初期化済みの状態で届いた端末や、リカバリーフレーズがすでに書き留められている端末は決して使用せず、パッケージの封印が破損していないことを確認してください。 – この件に関する情報をお持ちの場合：Ledgerは、懸賞金プログラム（bounty@ledger.fr）まで連絡するよう呼びかけています。

今後の見通し

調査は継続中で、Ledgerは法執行機関と連携していると述べています。重要な疑問が残されています。改ざんされた端末は何台あったのか、サプライチェーンのどの段階でインプラントが追加されたのか、そして最終的な損失額は現在の8,600万～9,300万ドルという推定と一致するのか、それを上回るのか。Tibane Labsなどの研究者によるさらなる技術的な調査結果や、Ledgerによるフォレンジック報告書の公開が予想されるほか、ハードウェアウォレットメーカーが販売代理店をどのように審査・監視しているかについて、より厳しい目が向けられるでしょう。