ハードウェアウォレット大手のLedgerが、東南アジアの再販業者を通じて販売されたデバイスに関連する不正改ざんの疑いを調査している。同社が10月9日に公式Xアカウントで明らかにした。
匿名のブロックチェーン調査者Specterによると、8,600万ドル以上の暗号資産が数百のウォレットから流出した可能性がある。被害はビットコイン、イーサリアム、トロンの各アドレスに及ぶとされる。
ハードウェアウォレットは秘密鍵をオフラインで保管するセキュリティの要だ。今回の疑惑は、暗号資産の保管に対する信頼を揺るがす可能性がある。
東南アジアの再販業者を経由したデバイスに不正の疑い
Ledgerは10月9日、東南アジアの再販業者CryptoBilisを通じて販売されたデバイスに関連する資金流出の報告を調査していると発表した。同社はこの発表で、被害額や原因についての確認は取れていないとしている。
8,600万ドル規模の被害報告が浮上
匿名のブロックチェーン調査者SpecterはXで、8,600万ドル以上の暗号資産が数百のウォレットから盗まれた可能性があると報告した。Specterは、XやRedditに寄せられたLedgerユーザーの報告を確認した後、ビットコイン、イーサリアム、トロンにまたがる不審な送金先アドレスを追跡したという。
ただし、これらの被害額や関連性について独立した検証はまだ行われていない。LedgerもCryptoBilisを通じてデバイスを購入した顧客から資金が失われたという報告を認めたものの、被害額の確認や原因の特定には至っていない。
CryptoBilisとはどんな業者か
CryptoBilisは東南アジアで活動する再販業者だ。Ledgerの正規販売パートナーとしてデバイスを販売していたとみられる。今回の調査対象は、このCryptoBilisを通じて販売されたデバイスに限られている。
Ledgerは調査が進む間、CryptoBilisに対してすべての販売と発送を停止するよう要請した。過去90日以内にこの業者からデバイスを購入した顧客には、デバイスの設定を始めないよう呼びかけている。
サプライチェーン攻撃の可能性とその手口
現時点で原因は確定していないが、考えられる説明の1つにサプライチェーン攻撃がある。これは、ハードウェアウォレットが顧客の手に渡る前に改ざんされる攻撃手法だ。
リカバリーフレーズを事前に仕込む手口
ハードウェアウォレットには、秘密鍵を復元するためのリカバリーフレーズと呼ばれる単語の列が設定されている。通常、このフレーズはデバイスの初期設定時に生成され、ユーザーだけが知るものだ。
サプライチェーン攻撃では、攻撃者が事前にリカバリーフレーズを生成してデバイスに仕込んでおく。ユーザーがそのデバイスに資産を預けると、攻撃者は自分の知っているリカバリーフレーズを使って資産を抜き取ることができる。
要するに、見た目は正規品でも、初期設定の段階ですでに危険が仕込まれているということだ。
Ledger本体のシステムは侵害されていない
今回の調査対象は、あくまで第三者の再販業者を通じて販売されたデバイスだ。Ledger自身のシステムやウォレット技術が侵害されたという証拠は確認されていない。
この点は重要だ。ハードウェアウォレットのセキュリティは、デバイス自体の設計と製造工程の両方に依存している。正規の販売経路で購入したデバイスであれば、今回のリスクは低いと考えられる。
相次ぐ暗号資産のセキュリティ被害
今回の疑惑は、すでに多発している2026年の暗号資産セキュリティ被害に拍車をかける可能性がある。
2026年はハッキング被害が多発
DefiLlamaのデータによると、2026年に入ってから大規模な被害が相次いでいる。9月には暗号資産取引所Bitgetが3億5,000万ドル以上の資産を奪われる事件が発生した。
さらに、Liquid Networkが約3億2,000万ドル、Driftが2億9,500万ドル、Kelpが2億9,300万ドルの被害に遭っている。今回のLedger関連の疑いは、このリストに新たな被害を加える可能性がある。
ハードウェアウォレットへの信頼への影響
ハードウェアウォレットは、取引所に資産を預けるよりも安全な保管手段とされてきた。秘密鍵をオフラインで保管するため、オンライン上のハッキングからは基本的に守られる。
しかし、今回のようなサプライチェーン攻撃の疑いは、ハードウェアウォレットにも盲点があることを示している。デバイスが正規の製造元から直接購入されていない場合、その安全性は保証されない。
Ledgerは2014年設立のフランス・パリ拠点の企業で、これまでに全世界で700万台以上のデバイスを販売してきた。同社の製品は、取引所に依存せずに暗号資産を守りたい投資家に広く使われている。
そのため、同社の製品に関わるセキュリティ問題は、市場全体にとって重要な意味を持つ。
Ledgerの対応とユーザーが取るべき措置
Ledgerは今回の報告を受けて、再販業者への販売停止要請と、購入者への注意喚起を行った。
過去90日以内の購入者は設定を停止
同社は、過去90日以内にCryptoBilisからデバイスを購入した顧客に対して、デバイスの設定を始めないよう呼びかけている。デバイスが改ざんされている可能性があるためだ。
資産の移動方法と新規リカバリーフレーズの生成
すでにウォレットを有効化してしまった顧客には、資産を新しいLedgerデバイスに移すことを検討するよう推奨している。その際、新しいデバイスで新たにリカバリーフレーズを生成することが重要だ。
既存のリカバリーフレーズを使い回すと、改ざんされたデバイスに仕込まれたフレーズがそのまま使われる可能性がある。新しいフレーズを生成することで、攻撃者の手の届かない環境を作れる。
再販業者経由の購入リスクをどう見るか
今回のケースは、ハードウェアウォレットを購入する経路がいかに重要かを改めて浮き彫りにした。
正規品と並行輸入品の区別
ハードウェアウォレットは、メーカーの公式サイトや認定販売店から購入するのが基本だ。再販業者や並行輸入品は、価格が安い場合があるが、デバイスが改ざんされているリスクを考慮する必要がある。
特に、リカバリーフレーズが事前に仕込まれているデバイスは、外見からは見分けがつかない。正規の販売経路で購入することが、最も確実な防御策になる。
ユーザーが身を守るための3つのポイント
今回の事例から学べる対策は3つある。1つ目は、ハードウェアウォレットを公式サイトまたは認定販売店から購入することだ。2つ目は、デバイスの初期設定時にリカバリーフレーズが新しく生成されることを確認すること。3つ目は、不審な動きがあればすぐに資産を移動できるよう、定期的にウォレットの残高を確認することだ。
特に2つ目のポイントは重要だ。正規品であれば、初期設定時にユーザー自身がリカバリーフレーズを生成する。もし、購入時点でリカバリーフレーズが同梱されていたり、設定済みのデバイスが届いたりした場合は、すぐに使用を中止すべきだ。
この記事のポイント
- Ledgerが東南アジアの再販業者CryptoBilis経由で販売されたデバイスの改ざん疑惑を調査している
- 8,600万ドル規模の暗号資産流出の可能性が報告されたが、被害額は未確認
- サプライチェーン攻撃の可能性があり、リカバリーフレーズの事前仕込みが疑われる
- Ledger本体のシステム侵害の証拠はなく、正規購入者へのリスクは低い
- 過去90日以内にCryptoBilisから購入した場合は設定を停止し、新規デバイスへの移行を検討する
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。