CryptoBilis販売端末を調査、正規品チェックでは検知できない改造も
ハードウェアウォレットを開発する仏レジャー（Ledger）が、端末内部の不正部品によって復元用のリカバリーフレーズが外部へ送信される攻撃の仕組みを10月13日に公式Xで公表した。
同社のセキュリティ研究チーム「Ledger Donjon」が調査しているのは、東南アジアの販売業者クリプトビリス（CryptoBilis）を通じて販売された端末だ。レジャーは10月10日、被害ユーザーの端末1台に不正部品が組み込まれていたことを確認している。
同チームの分析によると、不正部品は端末の筐体内部にあり、画面に表示される情報を読み取るとのこと。初期設定時に24単語のリカバリーフレーズが表示されると、不正部品のマイクロコントローラーが単語を解析し、通信設定済みのeSIMを使って携帯通信網のLTE経由で送信するという。
リカバリーフレーズは、ウォレットを復元するための単語の組み合わせだ。第三者がこれを取得すると、元の端末を持っていなくても、別の対応ウォレットで秘密鍵を復元し、暗号資産（仮想通貨）を移転できる。
レジャーによると、不正部品は独立した部品であり、端末のセキュアエレメント（Secure Element）やOSを変更せず、取引や署名も改変しないとのこと。セキュアエレメントは、秘密鍵の保管や取引への署名を担う保護されたチップだ。
なおレジャーは公式サイトで、正規品チェック機能「ジェニュインチェック（Genuine Check）」は、端末に正規のセキュアエレメントが搭載されていることを確認する仕組みだと説明している。同社によると、元のセキュアエレメントが正常なまま残っている場合、スパイ用部品の追加など、無許可の物理的な改造は検知できないという。
10月13日の発表時点で、レジャーが今回の事案に関連して確認した資産流出は、全てクリプトビリス販売端末に関するものだ。同社は、他の販売経路で購入された端末に関連する資産流出は確認していない一方、他の端末や地域での不正部品の報告も調査している。
レジャーは被害者数と被害総額を確定していない。同社は、オンラインで出回っている被害額などは第三者による集計であり、同社が完全に検証したものではないと説明している。
クリプトビリスは、調査中のレジャー端末の販売を停止している。レジャーは同社から購入した端末について、未設定の場合は設定を行わず、サポートに連絡するよう案内した。設定済みの場合は、新たなリカバリーフレーズを生成した別の端末へ、速やかに資産を移転するよう求めている。
またレジャーは、クリプトビリスで購入した端末で、リカバリーフレーズの入力や既存のフレーズを使ったウォレットの復元を行わないようにも求めている。
Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user’s signer. All confirmed fund losses tied to the incident disclosed on October 9th involve signers sold through CryptoBilis. We have not verified a drain linked to a signer bought elsewhere. CryptoBilis has confirmed it stopped selling Ledger signers while the investigation continues. Based on the Donjon’s analysis of the attack, the implant sits inside the enclosure and reads the data shown on the screen. During setup, the signer displays the 24-word recovery phrase. When the implant detects these screens, its microcontroller decodes the words and transmits them over LTE using a provisioned eSIM. The implant is a separate component. It does not modify the Secure Element or the Ledger operating system, and it does not alter transactions or signatures. The Donjon will analyze the signers it receives and will share more as the investigation continues. We have not confirmed the total number of affected users or the total value lost. Figures circulating online come from third parties and Ledger has not fully verified them. If your funds were drained and you have not contacted us, please do so through Ledger Support so we can include your case. We are also reviewing reports of implants in other signers and locations. We will continue to share information as the investigation progresses. Rest assured the Ledger team is going above and beyond to leave no stone unturned to investigate this situation to the strongest possible outcome. If you bought a Ledger signer from CryptoBilis and have not set it up, do not set it up and contact Ledger Support. If you have set it up, transfer your assets promptly to a new signer with a new recovery phrase. Do not enter or restore any recovery phrase on a signer bought from CryptoBilis. Never enter your recovery phrase into a website, app or form. If you lost funds or hold a tampered signer, contact Ledger Support at https://t.co/QzukOZdEzq and file a report with local law enforcement. Do not send the signer to anyone before speaking with Ledger Support or local law enforcement. If you lost funds, coordinate with law enforcement before opening the signer. Researchers and others with relevant information can write to security@ledger.com. If you did not buy from CryptoBilis and want to inspect the inside of your signer, the guide is at https://t.co/Bh9DHQulIv. Use caution and make sure your recovery phrase is backed up first, because opening a signer can damage it. Ledger will never call you, message you directly, or ask for your 24-word recovery phrase. We will update this post when we verify new information.
— Ledger (@Ledger) October 13, 2026
参考：レジャー
画像：PIXTA