破綻したビットコイン取引所Mt. Goxの元CEO、マルク・カルプレス氏によると、フランスのハードウェアウォレットメーカーLedgerは、直近のセキュリティ危機が起きる数カ月前に、悪意あるハードウェアインプラントに関する複数の報告を受けていた。
カルプレス氏はCointelegraphに対し、2025年12月までさかのぼる改ざんデバイスについてLedgerに連絡した人物を、少なくとも2人把握していると語った。また、Ledgerがこれに応じて公に警告を発したのを見たことはないと述べた。
セキュリティ研究者のジョー・グランド氏はCointelegraphに対し、2025年8月にオンラインマーケットプレイスのLazada Thailandで購入したNano Xに悪意あるインプラントが仕込まれていたとして、2026年3月4日にLedgerへ報告したと語った。
Grand氏によると、Ledgerは同氏の調査結果を認め、社内で調査中だと述べたが、脅威について顧客に積極的に警告しなかったとして同社を批判した。
Mark Karpelès氏によると、ベトナムの暗号資産教育者Tai Zen氏は2025年12月、ハードウェアウォレットへの不審な不正部品の埋め込みについてLedgerに連絡した。出典：Tai Zen
Ledgerをめぐるセキュリティ危機が表面化したのは10月9日だった。東南アジアで認定販売業者として営業するCryptoBilisを通じて販売されたウォレットに関連し、暗号資産の損失が報告された。Ledgerは、影響を受けたデバイスの1台に無許可の部品が埋め込まれていたことを認めている。
Ledgerは、Grand氏の情報開示への対応についてコメントを求められたが回答を拒み、X上で公表した声明を参照するようCointelegraphに伝えた。
「怪しげな販売業者から購入したLedgerに不正部品が見つかったという単一の事例にLedgerが対応しないのは、もしかすると普通のことなのかもしれない」とKarpelès氏は述べた。さらに、次のように付け加えた。
「しかし、受け取った報告の数が増え、不正に使われた技術や手法も高度化していることを考えれば、同社は行動を起こすべきだと気づくべきだった。少なくとも、顧客に注意を促すべきだった。」
マーケットプレイスの出品が販売業者の認証の不備を露呈
Cointelegraphが入手したプレゼンテーションの中で、Grand氏は改ざんされたLedgerをLazadaで販売していた業者を「LedgerXXX」と特定した。本稿執筆時点で、LedgerXXXはタイの認定販売業者として登録されていない。一方、Lazada上のLedger公式ストアは登録されている。
CointelegraphはGrand氏とLedgerの双方に、デバイス購入時の販売業者の身元と認定状況について確認を求めた。
OneKeyの営業責任者Archie氏はCointelegraphに対し、Lazadaのようなマーケットプレイスには多数の独立した販売業者が出店しているため、顧客が認定ストアとその他の出品を見分けるのは難しいと語った。
出典：Grand Idea Studio（Joe Grand）
最近の事案を受け、OneKeyはより厳格な確認を導入するまで販売業者の出品を取り下げた。同社は、信頼できる販売業者を見分ける責任を購入者だけに負わせるのではなく、メーカーが顧客保護に責任を持つべきだと述べた。
無許可のウォレット販売は依然としてセキュリティ上の懸念
Grand氏の調査結果はLedgerに限らなかった。2026年8月には、TikTokとFacebookで無許可の販売業者から購入した、改ざんされたTrezor OneおよびModel TのウォレットについてもTrezorに警告した。
TrezorはCointelegraphに対し、無許可の販売業者を通じて偽造ウォレットが出回ることは時折あり、2022年にもロシアのマーケットプレイスで販売されていた改造デバイスについて警告したと述べた。また、デバイスが侵害された証拠はないという最近の主張は、認定販売業者を通じて販売された新品のウォレットに限ったものだと説明した。
それでもTrezorは、無許可の販売業者に関する報告を初期警告として扱い、研究者の調査結果をセキュリティ確認の改善に活用していると述べた。
「状況を変えるのは、新たな手口が見つかること、あるいは認定販売ルートで初めて事例が確認されることです。どちらの場合も、問題が一般の購入者により近づいたことを意味します。その段階になれば、顧客への直接の警告を含め、最も迅速に対応します」とTrezorは述べた。
マガジン：改ざんされたLedgerに保管されていた480万ドルを詐欺師が失う：Asia Express