トレザー製ウォレットに不正部品組み込みの疑い
暗号資産（仮想通貨）のハードウェアウォレットを開発するトレザー（Trezor）が、販売代理店クリプトビリス（CryptoBilis）を通じて販売された同社製品「トレザー・セーフ5（Trezor Safe 5）」に、不正な部品が組み込まれていたとの報告を受けたと10月30日に発表した。トレザーは報告内容に信憑性があると判断し、今年3月以降にクリプトビリスから製品を購入した利用者に、新しいウォレットへの資金移動を求めている。また、対象購入者には端末の交換も案内している。ただし、問題が報告された端末の実物検証は完了していない。
トレザーのセキュリティチームは10月28日、インドネシアの顧客から報告を受けた。対象の端末は、今年8月にインドネシアのECプラットフォーム「トコペディア（Tokopedia）」を通じて購入されたものだ。
報告によると、端末内部のメイン基板と画面の間に、携帯通信モジュールとアンテナを備えた追加の回路基板が組み込まれていた。この部品は、画面に表示される復元フレーズなどの情報を読み取り、端末が接続された際に携帯通信ネットワークを通じて外部に送信する仕組みと説明されている。
ハードウェアウォレットは、暗号資産の管理に必要な秘密鍵を専用端末内で保管し、インターネット経由での不正アクセスのリスクを低減する製品だ。しかし、秘密鍵を復元するための情報である「復元フレーズ」が第三者に知られると、別のウォレットで秘密鍵を復元され、端末が手元にあっても資産を盗まれる恐れがある。
トレザーは報告者から写真を受け取り、ビデオ通話による聞き取りも実施した。今後、問題の端末を受け取り次第、詳しい調査を行う予定だ。現時点で、クリプトビリス経由の購入者から資金損失の報告はない。今回の報告者も、不正部品を発見する前に資金を移動していたとのことだ。また、トレザーはクリプトビリス以外で購入された製品について、同様の改ざん報告を受けていない。
今回の注意喚起は、トレザー・セーフ5に限らず、対象期間にクリプトビリスから購入されたすべてのトレザー製品に適用される。トレザーは対象製品をすでに使用している利用者に対し、新しい復元フレーズで作成したウォレットへ速やかに資金を移すよう求めている。仮に復元フレーズが流出していた場合、端末を交換しても古いフレーズを再利用すると第三者がウォレットを復元できるためだ。
安全なハードウェアウォレットを用意できない場合は、使い慣れたソフトウェアウォレットや暗号資産取引所への一時的な資金移動が推奨されている。一方、まだ初期設定していない端末については、使用を開始せず、既存のウォレットの復元フレーズも入力しないよう求められている。
またトレザーは対象購入者に対し、新しい端末を直接発送するか、購入費用を賄うクーポンを提供する方針だ。利用者には購入済みの端末を保管し、サポートに連絡するよう案内している。さらに、今回の問題に便乗したフィッシング詐欺にも注意を呼びかけた。トレザーのサポート担当者が復元フレーズの提供を求めることはないとのことだ。
レジャー製品でも同じ販売代理店を通じた改ざん被害
今回の問題の背景には、クリプトビリスを通じて販売されたレジャー（Ledger）製ハードウェアウォレットの改ざん事件がある。クリプトビリスは当時、レジャーとトレザーの双方の正規販売代理店だった。レジャーは10月9日、同販売代理店から製品を購入した利用者の資産流出について調査を開始した。その後、一部の端末に不正な部品が組み込まれていたことを確認した。
レジャーの調査では、攻撃者が正規製品を分解して不正な部品を組み込み、販売経路に戻していたことが判明した。この部品は、端末の初期設定時に表示される復元フレーズを読み取り、LTE通信で外部に送信する仕組みだった。レジャーは今回の事件について、同社製品のチップやOS、サーバーに欠陥はなく、製品が同社の管理下を離れた後の流通経路を狙った攻撃だと説明している。
この事件を受け、トレザーは10月9日にクリプトビリスを正規販売代理店から除外した。さらに、10月13日には正規販売店網を縮小する方針を発表した。また、トレザーはクリプトビリス経由で販売された自社製品の検査も進めており、今回報告された端末とは別の4台については、改ざんの痕跡を確認していない。
トレザーは今回報告された不正な部品について、レジャー製品で確認されたものと似た動作をする可能性があると説明している。ただし、両事件の関連性や攻撃者については明らかになっていない。同社はレジャーなどの関係者と協力して調査を進めている。
CryptoBilis update We’ve been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from CryptoBilis from March 2026 onwards, we know this is unsettling. Here’s what to do: Already using it? Move your funds to a newly created wallet with a new seed as soon as possible. Do not reuse the old seed in any wallet, hardware or software. If you don’t have another secure hardware wallet available, we recommend temporarily migrating your funds to a software wallet or an exchange you are familiar with. Not set up yet? Don’t set it up, and never enter your existing wallet backup on it. We haven’t received the device to confirm this report, but based on the customer’s description, we’re treating it as credible and sharing it now so customers who purchased a Trezor via CryptoBilis can secure their funds as a precaution. Our security team will examine the device as soon as it arrives. On October 9, 2026, we removed CryptoBilis as a reseller following reports of tampered Ledger devices sold through it. Since then, we have been inspecting Trezor devices that customers bought from CryptoBilis and have found no signs of tampering on any of the four devices we’ve received so far. NEVER share your wallet backup (recovery phrase) with anyone. Trezor Support will never ask for it. If you are affected by this incident, please keep your CryptoBilis device and contact Support to receive a new Trezor hardware wallet: https://t.co/5EasOVDDQh We’re investigating and will post updates here as soon as we know more. Thank you to the customer who reported this through our responsible disclosure program, and to @SEAL_911 for working alongside our teams on the response. Reports and engagement like this help us protect everyone else. For more information, visit our blog: https://t.co/2LmFV8L2oe
— Trezor (@Trezor) October 30, 2026
参考：ブログ
画像：PIXTA