ハードウェアウォレットって、最も安全だと言われていませんでしたか？ 今回、ハッカーはその画面にまで細工していました。

Ledgerの公式セキュリティチームは今週、攻撃の全容を公表しました。東南アジアの販売業者CryptoBilisが販売した一部のデバイスでは、画面の裏にマイクロコントローラーとeSIMを搭載したスパイチップが埋め込まれていました。ユーザーが初めて電源を入れ、画面に24語のシードフレーズが表示されたその瞬間、チップがフレーズを読み取り、LTEネットワーク経由でリアルタイムに送信します。パソコンをネットにつなぐ必要は一切ありません。デバイス自体が「電話をかけて」情報を送信するのです。

最もぞっとするのは、セキュリティチップにはまったく手が加えられていなかったことです。Ledger公式の真贋判定では、細工されたすべてのデバイスが「正規品」と表示されました。ソフトウェアによる検証では、物理的な改ざんを防げません。

被害額（オンチェーン追跡機関による推定）：Specterは約8,600万ドル、Bitqueryは9,300万ドル超、311個のウォレットが関与したと推定しています。チェーン別では、$TRX が約7,050万ドル、$BTC が約1,680万ドル、$ETH が約370万ドル、BNB Chainが約145万ドルです。Tetherは関連するUSDT約1,000万ドルの凍結に協力しました。不審な送金は10月9日から10日に集中しています。

私の考えを言うと、この件から得るべき本当の教訓は「ハードウェアウォレットはもうダメだ」ということではなく、サプライチェーンこそが最大の弱点だということです。デバイス自体がどれほど信頼できても、信頼できない人の手を経れば、丸裸も同然です。さらに警戒すべきなのは、元Mt.Gox CEOによると、昨年12月の時点で改造されたデバイスについてLedgerに報告があったということです。警告は早くからあったのに、公表までの対応は遅れました。今後は次の3点を覚えておいてください。ハードウェアウォレットは公式サイトから直接購入すること。シードフレーズは必ず手書きで、オフラインで保管し、絶対に写真を撮ってスマホに保存しないこと。過去90日以内にCryptoBilisのような第三者経由でLedgerを購入した場合は、公式の推奨どおり、シードフレーズが漏えいしたものとみなし、ただちに資産を移して新しいシードフレーズに切り替えてください。

データ基準：2026-10-18 08:52 UTC
出典：新浪財経；WhaleAgent（CoinDesk、Ledger Donjonの報告を引用）；Crypto Briefing（フィナンシャル・タイムズを引用）
情報共有のみを目的としており、投資助言ではありません。

あなたはシードフレーズをどう保管していますか？ コメント欄で教えてください。