Last Updated on 2026年10月31日 by oba3
ハードウェアウォレットメーカーのトレザー（Trezor）は2026年10月30日、販売業者クリプトビリス（CryptoBilis）経由で購入されたトレザー・セーフ5（Trezor Safe 5）に、不正な基板が追加されている疑いがあるとして利用者へ警告した。
発表時点で、同社は問題の端末をまだ受け取っておらず、詳細検査も実施していない。利用者の説明などから警告が必要と判断した段階であり、改造の機能や資産流出が確定した事案、あるいは全製品に共通する欠陥として扱うことはできない。
何が起きたのか？
Decryptの報道によると、トレザーは10月28日、インドネシアの利用者から報告を受けた。対象は、同年8月に電子商取引サイトのトコペディア（Tokopedia）を通じ、クリプトビリスから購入されたセーフ5の1台だ。
報告では、本体の主基板と画面の間に、携帯通信モジュールとアンテナを備えた追加基板があるとされる。画面に表示される復元用フレーズなどを読み取り、外部へ送信する疑いが示されたが、トレザーによる実機検証はまだ終わっていない。
同社は利用者とのビデオ通話などを踏まえ、予防的に警告を出した。発表時点では、クリプトビリス購入者から同社への資産損失の報告はないとしている。ただし、これはすべての購入者の残高や被害の有無を確認できたという意味ではない。
なぜ重要なのか？
ハードウェアウォレットは、秘密鍵の管理や取引の承認を専用端末で行う仕組みだ。その安全性を考える際には、製品の設計だけでなく、手元に届いた現物が想定どおりの状態かという確認も必要になる。
今回問題となっているのは、販売経路を通過した端末への物理的な改変の疑いだ。仮に報告内容が確認されれば、正規製品の名称や販売履歴だけでは、個々の端末の状態を十分に説明できないことになる。一方、現段階では改変が行われた場所や関与者も確定していない。
市場構造への影響
ウォレットメーカーと利用者の間には、販売代理店、倉庫、配送事業者などが入る。これらは購入の利便性を支える一方、製品を誰が保管し、どの状態で引き渡したかを追える体制も求められる。
トレザーは10月9日にクリプトビリスを販売代理店網から除外していた。今回の報告は、その後に疑わしい端末が申告されたものであり、販売停止だけで既に流通した端末への対応が完了するわけではない。
メーカーの信頼を支える業務には、製造時の検査に加え、購入履歴の確認、対象者への通知、交換対応、回収後の調査が含まれる。利用者へどこまで具体的な対応を示せるかも、製品評価の一部となる。
資金・規制・流動性との関係
同社の警告は、2026年3月以降にクリプトビリスから購入したトレザー端末を対象とする。既に利用している場合は、新しい復元用フレーズで作成した別のウォレットへ資産を移し、未設定の端末は使用しないよう案内している。対象の購入者には、サポートを通じた交換対応も示された。
これは資産が盗まれたことを確認してから行う事後対応ではなく、調査中のリスクを踏まえた予防措置だ。警告対象に入ることと、その端末で改造が確認されたことは区別する必要がある。
また、端末の交換と資産の補償は別の問題になる。交換の案内だけで、損失補償の範囲や責任の所在まで確定したとは判断できず、今後の調査結果と個別の対応条件を確認する必要がある。
初心者向け補足
復元用フレーズは、端末を紛失・破損した際にウォレットを復元するための重要な秘密情報だ。第三者へ漏れていれば、利用者が端末を持ち続けていても、資産を動かされるおそれがある。
そのため、漏えいが疑われるフレーズを新しい端末へ入力するだけでは、問題の解消にならない。今回の案内で「新しい復元用フレーズ」が求められている点は、単なる機器の買い替えとの重要な違いだ。
対象かどうかを判断する際は、端末名だけでなく、購入先と購入時期を確認することになる。案内や問い合わせ先は自分で開いたメーカー公式サイトから確認し、復元用フレーズを第三者へ送らないことが基本となる。
Web3Timesの視点
今回の警告から読み取れるのは、資産保護には端末の内部設計と流通管理の両方が関わるという点だ。ただし、未回収の1台に関する報告から、影響台数や攻撃の成功、全製品の安全性まで結論づけることはできない。
今後は、実機の回収・検査によって追加基板の存在と機能が確認されるか、同様の報告が広がるか、対象購入者への交換や通知がどう進むかが焦点になる。疑いの段階での警告と、検査で確定した事実を分けて追うことが、被害を防ぐ対応と正確な状況理解の両立につながる。
