ハードウェアウォレットメーカーのTrezorは、Trezor Safe 5にハードウェアの不正な仕掛けがあったとの報告を受け、販売代理店CryptoBilisからデバイスを購入した顧客に資金を移すよう警告しました。同社は、デバイスがまだ調査施設に届いていないものの、この報告を信頼できるものとして扱っています。

Trezorが発見されたと述べているもの

Trezorの公式通知によると、同社のセキュリティチームは2026年10月28日、2026年8月にCryptoBilisから購入されたSafe 5に不正な仕掛けが1つあったとの責任ある開示を受けました。報告したのはインドネシア在住のTrezor顧客です。

BleepingComputerは、ユーザーがメイン基板と画面の間に、携帯電話通信モジュールとアンテナを備えた追加の回路基板を見つけたと報じました。顧客からの未確認の説明によると、この不正な装置はリカバリーフレーズを含む画面上の情報を読み取り、デバイスが接続されているときにモバイルネットワーク経由で送信できるようです。

Trezorは、報告内容を確認するためのデバイスをまだ受け取っていないと述べています。購入者が予防措置として資金を保護できるよう、現時点で詳細を共有しています。The Blockによると、Trezorはデバイスを受け取っていないものの、リスクを信頼に足るものとして扱っています。

CryptoBilisで購入した人からTrezorに資金の損失が報告された例はありません。Trezorによると、報告を行った顧客は不正な装置を見つける前に、すでにデバイスから資金を移していました。

購入者向けの案内とLedgerの事例へのリンク

Trezorの助言はSafe 5だけでなく、CryptoBilisから購入したすべてのモデルに当てはまります。2026年3月以降にこの販売代理店から購入した人は、新しく作成したウォレットに新しいリカバリーシードを設定して資金を移し、Trezorサポートに連絡してください。CryptoBilisのデバイスをまだセットアップしていない場合は、セットアップしないでください。Trezorによると、影響を受けた購入者は交換品またはバウチャーを受け取ることができます。

CryptoBilisは2026年10月まで、東南アジアにおけるTrezorの正規販売代理店でした。その月初めに発生したLedgerの事案を受け、Trezorは10月9日にこの販売代理店経由の販売を停止しました。BleepingComputerによると、両ブランドのデバイスに仕込まれた不正な装置は、形状と機能が似ているようです。

Trezorは、CryptoBilisの他の顧客から届いたデバイスも調査しました。同社によると、これまでに受け取った4台のデバイスには改ざんの形跡が見つかりませんでした。そのため、Trezorが該当の端末を調査するまでは、今回の報告は未確認の単独事例にとどまります。

今回の事案は、ハードウェアウォレットに対するサプライチェーン攻撃への懸念をさらに高めています。こうした攻撃では、デバイスが購入者に届く前に改変される可能性があります。メーカーから直接購入するか、認定販売代理店の一覧に掲載されている販売店から購入すれば、そのリスクを減らせます。

情報源：

• Trezor：CryptoBilisが販売したTrezorに不正な装置が仕込まれたとの報告

• BleepingComputer：ハードウェアウォレットに暗号資産窃取を狙った不正な装置が仕込まれた疑いがあるとして、Trezorが注意喚起

• The Block：CryptoBilisが販売したSafe 5にハードウェアへの不正な装置の埋め込みが疑われるとTrezorが報告