• Trezorは10月28日にSafe 5の不正部品に関する報告を受け、10月30日に顧客へ警告した。

• 問題のウォレットは、2026年8月にインドネシアのTokopediaで購入された。

• Ledgerが改ざんを確認した後、Trezorは10月9日にCryptoBilisを販売代理店ネットワークから除外した。

Trezor Safe 5に不正な埋め込み部品の疑い

Trezorは、東南アジアで以前同社の販売代理店を務めていたCryptoBilisからハードウェアウォレットを購入した顧客に対し、資金を移動するよう呼びかけた。Trezor Safe 5の内部に悪意ある部品が埋め込まれていた疑いがあるとの報告を受けたためだ。同社が10月30日にブログで発表したところによると、報告は10月28日に寄せられ、8月にインドネシアのTokopediaでCryptoBilisを通じて購入されたウォレットに関するものだった。購入者は、端末のメイン基板と画面の間に、携帯電話用モジュールとアンテナを備えた追加の基板があるのを見つけたと報告した。この説明に基づくと、その部品は画面に表示されるすべての情報を読み取ることができ、セットアップ時に生成されるリカバリーフレーズも含め、端末が電源に接続されるたびに携帯電話ネットワーク経由で送信できる可能性がある。リカバリーフレーズを手にした者は、別の場所でウォレットを復元し、元の端末なしで資金を引き出せる。Trezorによると、写真を確認し、購入者にビデオ通話で聞き取りを行ったものの、端末の実物はまだ調査できておらず、セキュリティチームが研究機関での分析を手配している。同社は、報告は直ちに対応するだけの信頼性があると判断した。2026年3月以降にCryptoBilisからTrezorのいずれかのモデルを購入した人は全員、完全に新しいリカバリーフレーズを使って新たに作成した暗号資産ウォレットへ保有資産を移すよう勧告されている。漏えいしたリカバリーフレーズを別の端末にインポートしてもリスクはなくならず、そのフレーズは実質的にウォレットの秘密鍵を読み取り可能な形で複製したものだからだ。購入した端末の設定をまだ済ませていない人には、使用を中止し、既存のリカバリーフレーズを絶対に入力しないよう伝えた。現時点で顧客から資金の損失は報告されていない。Trezorは交換用端末、または新品を購入できるバウチャーを提供し、購入者には端末を保管しておくよう求めた。また、詐欺師が偽のメールや電話でこの件を悪用する可能性があると警告した。ウォレットを開封したり重さを量ったりしても、改ざんを確実に検出できるわけではないとも述べた。この対応は、Security Allianceの緊急対応サービスであるSEAL 911の支援を受けている。

更新（10月30日 08:31 UTC）：開示された追加情報により、改ざんがどのように発覚したかが明らかになった。購入者は端末の重さに通常とは異なる違和感を覚え、不審な部品だと気づく前に、すでに資金を別の場所へ移していた。

開示された追加情報により、改ざんがどのように発覚したかが明らかになった。購入者は端末の重さに通常とは異なる違和感を覚え、不審な部品だと気づく前に、すでに資金を別の場所へ移していた。端末をまだ回収していないTrezorによると、この埋め込み部品はLedgerで確認された事例で見つかったハードウェアと同様の動作をするとみられる。同社は、犯人は特定されておらず、調査中のため両事例の比較については明らかにしていないとも述べた。報告は同社の責任ある情報開示窓口を通じて寄せられた。安全なハードウェアウォレットをすぐに利用できない被害対象の購入者に向けて、Trezorは暫定的な選択肢としてソフトウェアウォレットまたは暗号資産取引所へ一時的に資金を移す方法も示した。また、サポート担当者がリカバリーフレーズを尋ねることは決してないと改めて説明した。

Arkham、9,535万ドルの窃盗を追跡

CryptoBilisはかつて、東南アジアにおけるTrezorと主な競合企業Ledgerの正規販売代理店だった。同じ販売店が、改ざんが確認された事例の中心にもなっている。10月9日、Ledgerは同代理店を通じてウォレットを購入した顧客の資産損失について調査を開始し、その後、影響を受けた端末内の不正な部品が、セットアップ時に表示されるリカバリーフレーズを取得し、LTE接続を通じて外部へ送信できることを確認した。この部品は端末のセキュリティチップとは独立して動作し、通常の取引署名には影響を与えなかった。Trezorは同日、CryptoBilisを販売代理店ネットワークから除外し、顧客に端末の検査を申し出るよう求めた。10月19日までにSafe 5が2台、Safe 7が1台、Safe 3が1台の計4台を受け取ったが、いずれにも物理的な改ざんは確認されなかった。今回新たに開示されたのは、それらの検査対象ではない別のSafe 5に関するものだ。捜査当局は、疑わしい部品を取り付けた人物や、同じ攻撃者が両ブランドを狙ったかどうかを特定できていない。Ledgerの事例をめぐる資金の流れは大規模だ。Arkham Intelligenceは10月29日、10月7日から9日にかけて1,486のアドレスで発生した、総額9,535万ドルの窃盗疑いを追跡した。盗まれた資金が複数のブロックチェーンネットワークを移動し続ける一方、約1,000万ドル相当のUSDTが凍結された。シンガポール警察も別途、地元の小売店で購入された改ざん済みLedger端末が関係する2件の事件で、350万シンガポールドルの損失があったと発表した。Trezorは正規販売代理店のリストを厳格化し、調査に関してLedgerなどの関係者と協力している。同社によれば、現時点でほかの販売代理店に関連する報告は寄せられておらず、研究機関での分析結果が判明し次第、詳細を公表する。

COINOTAGの見解：どちらの事例も狙っているのは同じ弱点、つまり侵害された端末でリカバリーフレーズが生成される瞬間であり、端末の基盤となる署名チップではない。サプライチェーンに仕込まれたバックドアは、秘密情報が画面を通じて外部に漏れるため、端末上のあらゆる保護を迂回できる。だからこそ、正規に購入したハードウェアウォレットであっても、未確認の販売業者から購入すれば、所有者を危険にさらしかねない。Trezorが研究機関による確認を待たずに顧客へ警告したのは、改ざんが確認されたLedgerの事例と販売代理店の履歴が共通していたためだ。2026年3月という対象期間の開始日は予防措置であり、販売されたすべての端末が影響を受けている証拠ではない。今後注目すべき点は3つある。報告されたSafe 5の検査、捜査当局が攻撃者とLedgerの事例との関連を特定するかどうか、そして地域の販売代理店に関する追加の注意喚起が出るかどうかだ。資産の保管方法を検討する読者は、資金を移す前に、まずハードウェアウォレットの仕組みを確認してほしい（08:31 UTC時点）。