レジャーがウォレット改ざん攻撃への対応策を発表
暗号資産（仮想通貨）のハードウェアウォレットを開発する仏レジャー（Ledger）が、同社製品への不正部品組み込み攻撃に関する調査結果と再発防止策を10月15日に公表した。
同社は正規販売店や販売代理店に対し、製品の店頭展示を禁止し、在庫をバックヤードで保管する新たな措置を即時適用するよう求めた。また、法執行機関などと協力し、盗まれた資産の追跡や攻撃者が構築したインフラの解体を進めている。
今回の事件では、東南アジアの再販売業者「クリプトビリス（CryptoBilis）」からレジャー製品を購入した利用者の資産流出が報告されていた。レジャーは10月9日に調査開始を公表し、クリプトビリスに製品の販売と出荷の停止を要請。その後、10日には被害を受けた利用者の端末1台に、不正なハードウェア部品が組み込まれていたことを確認した。
レジャーの今回の発表によると、攻撃を実行したのは組織化された犯罪グループだという。同グループは数カ月にわたり正規のレジャー製品を購入して分解し、利用者の復元フレーズを取得するための部品を内部に組み込んだ。その後、改造した端末を東南アジアの再販売業者を通じて流通経路に戻していたとのこと。
不正な部品は、端末の初期設定時に表示される24単語の復元フレーズを読み取り、内蔵されたeSIMを使ってLTE通信で外部に送信する仕組みだった。復元フレーズは、ウォレットの秘密鍵を復元するための情報だ。第三者が取得すると、元の端末がなくても別のウォレットで秘密鍵を復元し、暗号資産を不正に移転できる。
さらに攻撃者は、復元フレーズを収集するサーバーや、盗んだ資産の移転・資金洗浄に使用するインフラも構築していた。レジャーによると、攻撃者は準備に多額の資金を費やしたとのこと。こうした準備を経て、複数のウォレットから資産を盗んだという。なお、レジャーは今回の発表で被害総額や被害者数を明らかにしていない。
一方、レジャーは今回の事件について、同社製品のチップやオペレーティングシステム（OS）、サーバーに欠陥はなく、社内システムも侵害されていないと説明した。攻撃者が標的としたのは、製品がレジャーの管理下を離れた後の流通経路だったとのことだ。
ハードウェアウォレットは、暗号資産の管理に必要な秘密鍵を専用端末内で保管し、インターネット経由での不正アクセスのリスクを低減する製品だ。しかし今回の攻撃では、端末内部の秘密鍵を直接盗むのではなく、初期設定時に表示される復元フレーズを不正な部品で読み取る手法が使われた。また、レジャー製品には正規品かどうかを確認する機能があるものの、こうした物理的な改造を検知できない場合がある。
正規販売店の管理を厳格化、改ざん防止策も開発へ
レジャーは事件を受け、全部門が参加する同社過去最大規模の調査を実施した。同社のセキュリティ研究部門「レジャー・ドンジョン（Ledger Donjon）」は、不正部品を分解して仕組みを特定。また、レジャーの調査チームはドイツなどの市場で製品を購入し、内部に不正な改造がないか検査した。さらに倉庫や自社在庫からもサンプルを抽出して調べたが、検査対象から不正な改造は確認されなかったとのことだ。
販売店への対応では、返品された製品について、新品や未開封品に見える場合でも再販売してはならないとする既存の規則を改めて通知した。さらに、製品は購入時に顧客へ引き渡し、異常が報告された場合は速やかにレジャーへ連絡するよう求めた。
レジャーは、暗号資産関連のセキュリティ対応を支援する「シール911（SEAL_911）」などとも調査で協力した。今後は攻撃の技術的な詳細を追加公表し、他のハードウェアウォレットメーカーにも調査で得られた情報を共有する方針だ。
また同社は、製品自体の改ざんを防ぐ追加的なセキュリティ対策についても開発を進めている。なお、同日発表された新製品「レジャー・アトム（Ledger Atom）」には、内部の保護領域への物理的な干渉を検知する仕組みが採用される予定だ。同製品は2027年の出荷を見込んでいる。
なお、今回の事件を受け、他のハードウェアウォレットメーカーも販売店の管理体制を見直している。トレザー（Trezor）は10月13日に正規販売店網を縮小する方針を発表。ワンキー（OneKey）も12日にクリプトビリスとの代理店契約を解除し、既存販売店の再審査や対象製品の無償交換を発表した。
Situation Update: Ledger can confirm that one of the impacted users’ devices contained an unauthorized hardware implant. Ledger is reaching out to impacted users as part of the ongoing investigation. If you have information regarding the investigation, please reach out to Ledger’s bounty program: bounty@ledger.fr. As a measure of precaution CryptoBilis confirmed it has ceased sales of all hardware wallet inventory until the investigation is concluded. Ledger is in active communication with CryptoBilis on next steps. Ledger is working with the appropriate authorities to bring the bad actors to justice, and thanks @SEAL_911 for their collaborative support on the investigation. We have no indication that Ledger’s security infrastructure, systems or services have been compromised. As a reminder, Ledger recommends users who purchased a Ledger device from this reseller to not initiate set up if they have not yet done so. If you have set up your Ledger device, consider moving assets to a new Ledger signer (with a new seed). Security is a constantly evolving landscape; Ledger is continuously adding security mitigations and is working on further, enhanced anti-tampering solutions. Scammers often try to take advantage of incidents like this. Rely only on official Ledger channels for updates, and remember: Ledger will never ask for your 24-word recovery phrase. For assistance or questions, contact Ledger customer support through our official channels: https://t.co/PeTo6Z7l84
— Ledger Support (@Ledger_Support) October 10, 2026
Ledger is investigating reports of loss of funds from users in South East Asia who purchased products from a reseller named CryptoBillis. As a precaution, and pending the results of our investigation, we have asked CryptoBilis to pause all sales and shipments of Ledger devices. We recommend Ledger users who purchased from this reseller in the last 90 days to not initiate set up if you have not done so yet. If you have set up your Ledger device, consider moving assets to a new Ledger signer (with new seed). We will continue to inform customers of updates as the investigation progresses. Reach out to Ledger customer support through official channels with any questions: https://t.co/4p918UH8yb
— Ledger Support (@Ledger_Support) October 9, 2026
参考：レジャー
画像：PIXTA