Last Updated on 2026年10月13日 by oba3
ハードウェアウォレット大手レジャー（Ledger）は2026年10月10日、東南アジアの再販業者クリプトビリス（CryptoBilis）から購入した被害者の端末1台について、正規設計には存在しないハードウェアインプラントが内部に取り付けられていたことを確認した。10月9日時点では再販経路での改ざんは調査中だったが、今回は少なくとも1台について物理的な改造が実物から確認されたことになる。
一方、Ledgerはすべての被害端末に同じインプラントが存在したとは発表しておらず、改造部品が今回報告されたすべての資産流出を直接引き起こしたとも確定していない。重要なのは推測段階から、正規製品のSecure Elementを破らずに別の部品を追加できるサプライチェーン侵害が実在することをメーカー自身が確認した点だ。
何が起きたのか？
Ledgerは10月9日、東南アジアでCryptoBilisからLedger製品を購入した利用者から資産損失の報告を受け、調査を開始した。翌10日には、影響を受けた利用者から回収した端末のうち1台に「unauthorized hardware implant」が存在したことを正式に認めた。
さらにその後の更新で、10月9日に公表した資産流出事件についてLedgerが確認したケースは、現時点ですべてCryptoBilisから販売された端末に関係すると説明した。Ledger自身のシステム、セキュリティ基盤、直接販売チャネルが侵害された兆候は確認していないとしている。
CryptoBilisはインドネシア、マレーシア、フィリピンなどでLedger製品を取り扱っていた再販業者で、調査開始後にハードウェアウォレット全商品の販売を停止した。Ledgerは影響端末の数について「限定的」と説明しているが、具体的な台数は公表していない。
被害額についてもLedger自身は確定値を示していない。オンチェーン分析では9000万ドルを超える複数の推計が出ているが、対象アドレスや集計範囲によって数字が異なる。このため被害額と物理改ざんが確認された端末数は分けて扱う必要がある。
なぜ重要なのか？
ハードウェアウォレットでは、秘密鍵をSecure Elementなどの保護領域から外へ出さないことが安全性の中心に置かれてきた。しかし今回確認された問題は、そのSecure Element自体を破壊しなくても、端末の別の部分へ不正部品を追加する攻撃が成立し得ることを示した。
独立した研究者によって以前から調査されていた改造端末では、表示回路を通る情報を追加部品から読み取り、初期設定時に表示されるリカバリーフレーズを外部へ送信する構造が確認されている。ただし、これら研究者が調査した端末はCryptoBilis販売品とは別経路で入手されたもので、Ledgerが今回確認したインプラントと同一構造だとはまだ公表されていない。
それでも、正規の暗号チップを残したまま追加ハードウェアを組み込めることは重要だ。端末が本物かを暗号学的に確認できても、「本物の端末に余計な部品が追加されていないか」という問いは別に残るからだ。
市場構造への影響
今回の確認によって、ハードウェアウォレットの信頼モデルは端末内部だけでは完結しないことが明確になった。メーカーで正常に製造された製品でも、倉庫、卸売、再販、返品、配送のどこかで物理的に介入されれば、利用者へ届く時点では別のリスクを持つ可能性がある。
特に重要なのは、正規販売店というラベルだけでは商品の真正性を完全には保証できない点だ。CryptoBilisはLedger製品を扱う再販経路として利用されていたため、利用者は非公式な中古端末を買ったつもりではなかった。
このため今後の競争では、メーカーがSecure Elementを強化するだけでなく、製造番号、出荷記録、返品履歴、販売店への納品経路などをどこまで検証可能にするかが重要になる。ハードウェアウォレットの安全性が暗号技術と流通管理の両方で評価される段階に入ったと見ることができる。
資金・規制・流動性との関係
秘密鍵やリカバリーフレーズが漏えいした場合、攻撃者は端末そのものを再び触る必要がない。別のウォレットへ同じ鍵を復元し、ビットコイン（Bitcoin）、イーサリアム（Ethereum）、USDTなど複数ネットワーク上の資産を移動できる。
LedgerはCryptoBilisから購入した未設定端末について初期設定を行わないよう呼び掛け、すでに設定した利用者には、新しい端末で新規リカバリーフレーズを生成し、資産を移すことを検討するよう案内している。古いリカバリーフレーズを新端末へ入力するだけでは、すでに情報が漏れていた場合の危険性を引き継ぐためだ。
また今回の問題は機関カストディにも関係する。銀行や資産管理会社がコールドストレージを運用する場合、鍵生成手順だけでなく、署名端末をどこから調達し、誰が受け入れ検査を行い、返品品を再利用しないかといった物理的な統制も必要になる。
規制や監査の観点でも、デジタル資産カストディの内部統制はソフトウェアだけでは不十分になる。端末の調達履歴や改ざん検査を証跡として残せるかが、資産保管事業者の管理基準へ組み込まれる可能性がある。
初心者向け補足
ハードウェアウォレットは暗号資産そのものを端末に保存しているわけではない。ブロックチェーン上の資産を動かすための秘密鍵を安全に生成・保管し、取引への署名を行う機器だ。
リカバリーフレーズは、その秘密鍵を復元するための単語列になる。この情報を第三者が取得すると、正規のLedger端末を盗まなくても別の機器から同じウォレットを復元できる。
今回Ledgerが確認したのは、影響を受けた端末1台の内部に正規設計ではない部品が追加されていたという事実だ。すべてのCryptoBilis販売端末が改造されていたことや、すべての流出が同じ仕組みによって発生したことまで確認されたわけではない。
この区別が重要になる。現在確定しているのは物理的改造の存在であり、攻撃者、改造時期、対象台数、具体的な情報窃取方法については調査が続いている。
Web3Timesの視点
今回の更新で最も大きく変わったのは、サプライチェーン侵害が仮説ではなくなったことだ。少なくとも一つの被害端末で、メーカーが認めていない追加ハードウェアが実際に確認された。
第一の観測点は、Ledgerがインプラントの技術詳細をどこまで公開するかである。どの信号を取得していたのか、外部通信能力があったのか、どのモデルが対象だったのかが分かれば、既存端末を検査する方法も具体化できる。
第二は真正性確認の範囲だ。Secure Elementが正規品であることと、端末全体が製造時の状態を維持していることは同じではない。今後は暗号学的なGenuine Checkに加え、物理構成まで検証する仕組みをどう作るかが焦点になる。
第三は再販業者管理である。ハードウェアウォレットメーカーが世界中で販売するには第三者流通網が必要になる一方、その一社が侵害されれば利用者はメーカー公式に近い経路だと認識したまま危険な端末を受け取る可能性がある。返品商品の再販売、在庫管理、所有者変更まで含めた継続監査が必要になる。
第四は自己管理という概念そのものだ。自己管理は第三者への信頼をゼロにするのではなく、信頼する対象を取引所から秘密鍵、署名機器、メーカー、販売網へ移す。今回のCryptoBilis事件は、その中でも見落とされやすかった「メーカーから利用者までの物理経路」が明確な攻撃対象になった事例だ。
ハードウェアウォレット市場で今後問われるのは、秘密鍵を安全なチップに閉じ込められるかだけではない。正規工場を出た端末が利用者の手元へ届くまで同じ構成を維持していることを、メーカーと利用者の双方が検証できるかが重要になる。Ledgerによる今回の実物確認は、暗号資産の自己管理におけるセキュリティ境界を、端末内部からサプライチェーン全体へ拡張する転換点として読むことができる。
