Ledger は10月10日(土)、被害を受けた顧客のハードウェアウォレット1台に不正なハードウェア implant が仕込まれていたことを確認しました。同社によると、この発見は、同社デバイスの東南アジアにおける販売代理店 CryptoBilis に関連する暗号資産盗難の報告を調査する過程で判明したといいます。Ledger が被害を受けたデバイスへの物理的改ざんを確認したのは今回が初めてです。本件は、第三者販売代理店チャネルを通じて流通したデバイスが関わるケースです。

同社は「被害を受けたユーザーのデバイスの1台に、不正なハードウェア implant が含まれていた」と述べ、さらに「Ledger のセキュリティインフラ、システム、サービスが侵害されたことを示す兆候はない」と付け加えました。Ledger のサポートアカウントは、被害を受けたユーザーへの連絡と当局との連携を進めていると説明しています。この確認が重く受け止められたのは、ハードウェアウォレットの中核的な保護手段がリカバリーフレーズ、すなわちセットアップ時に生成される単語列であり、それ単体でデバイスなしにユーザーの資金へのアクセスを復元できるためです。

独立系オンチェーンアナリストおよび調査担当者による推計では、疑われる損失額は約7,200万ドルから9,340万ドルの間とされています。

この公表に先立ち、Binance 創業者の Changpeng "CZ" Zhao 氏が1日前にハードウェアウォレット購入者へ注意を促す公開警告を行っていました:

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently. Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

調査で判明したこと

オンチェーンアナリストの Yfarmx 氏は、疑われる損失を471アドレスで9,340万ドルと推計しました。Bitquery は311アドレスで約9,290万ドル、研究者 Specter 氏は損失が8,600万ドルを超えたとしています。オンチェーン調査担当者の tanuki42 氏は、盗難とみられるアドレスに7,200万ドル超が送金されたことを特定しました。Ledger はこれらの数値をいずれも確認しておらず、調査当局者も被害を受けたウォレットの最終的な数を確定していません。

Mt. Gox の CEO Mark Karpelès 氏は、改ざんされた Ledger Nano X に関する調査結果を公表しました。それによれば、リカバリーフレーズを傍受できる隠し基板と携帯通信機器が組み込まれていたといいます。同調査結果によると、この機器はセットアップ中にデバイスの画面へ送られるデータを監視し、その後セルラーリンク経由でリカバリー用の単語を送信できる仕組みだったとのことです。この仕組みは、ハードウェアウォレットが本来守るべき瞬間、すなわち秘密のフレーズが生成され、デバイスがそれが存在する唯一の場所であるセットアップ時を突くものでした。ただし、被害を受けたすべてのウォレットに同様の部品が組み込まれていたことは証明されておらず、改ざんされたデバイスの最終的な総数も不明です。

販売代理店が販売・出荷を停止

インドネシア、マレーシア、フィリピンで事業を展開する CryptoBilis は、調査の結論が出るまでハードウェアウォレットの販売を停止しています。Ledger は10月9日、この販売代理店に販売と出荷の停止を要請しました。この停止により、デバイスが第三者流通を経て購入者に届く、ハードウェアウォレット市場の販売代理店層に注目が集まっています。

同社は、過去90日以内にこの販売代理店からデバイスを購入した顧客に対し、セットアップを行わないよう指示しました。すでにセットアップ済みの場合は、新しいシードで新しい Ledger シグナーへ資産を移すよう勧めています。新しいシードは、初回セットアップ時に生成されたリカバリーフレーズを置き換えるものです。

Ledger は、より強力な耐タンパー対策ツールの開発を進めていると述べ、調査を支援したボランティアのセキュリティ集団 SEAL 911 に感謝を示しました。

X 上では、Ledger が被害者に返金するかどうかを問うユーザーもいれば、CryptoBilis が正規販売代理店であった以上、同社が責任を負うべきだという意見もありました。Ledger はまだ補償について発表していません。

偽の Ledger ウェブサイトが Google 検索に出現

別の事例として、研究者の Cyber Scrilla 氏は、Bitcoin News の報道で取り上げられたように、偽の Ledger ウェブサイトとアプリが Google 検索結果の上位付近に出現したと警告しました。運営者は訪問者に24語のリカバリーフレーズを入力させようとしたと報じられています。

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

報道によると、このサイトは30日間で100万件以上のアクセスを記録していましたが、この数値は確認されていません。このサイトによる被害者数や盗まれた金額は確定しておらず、何人のユーザーがさらされた可能性があるかも不明です。

セキュリティ企業 Zscaler の9月の報告書は、不正な Google 広告を利用した類似の手口を記述していました。同社は、100万アクセスという主張がフィッシングページではなく google.com を指している可能性と指摘しており、このトラフィック数値は誤って帰属した可能性があります。

研究者らは、フィッシングサイトが CryptoBilis の損失を引き起こしたことを証明していません。両者は別の問題ですが、いずれも Ledger ユーザーが関わるものです。

Ledger ユーザーへの指針

Ledger は、リカバリーフレーズをウェブサイト、アプリ、オンラインフォームに入力してはならず、同社が顧客に24語のリカバリーフレーズを求めることは決してないと述べています。ソフトウェアは公式の Ledger ウェブサイトからのみダウンロードし、ウェブアドレスをよく確認するよう勧めています。

最新の更新は10月10日で、Ledger は1台のデバイスに implant が確認されたと発表しました。他に改ざんされたデバイスの数と犯人は依然として不明です。調査当局者が改ざんされたデバイスの最終数を確定できるか、Ledger が補償を発表するか、CryptoBilis がいつ販売を再開するかが、調査の進展とともに注目すべき未解決の論点です。

出典:CoinCentral