Ledger、リカバリーフレーズを盗んだLTEインプラントを発見ー推定8,600万ドル流出の調査
重要ポイント
- •LedgerのDonjonチームは、東南アジアの販売代理店CryptoBilisが販売したデバイスに、初期設定時に画面に表示される24単語のリカバリーフレーズを取得する隠蔽されたハードウェアインプラントが仕込まれていることを発見しました。
- •インプラントは取得したリカバリーフレーズをプロビジョニングされたeSIM経由でLTE回線で送信し、Secure Element、OS、取引署名を変更しない独立した部品として動作します。
- •確認済みの損失はすべてCryptoBilis経由で購入されたデバイスに関連していますが、オンチェーン調査会社SpecterはEthereum、Tron、Bitcoinにまたがる8,600万ドル超の窃取疑惑を追跡しています。
- •CryptoBilisは調査期間中Ledgerデバイスの販売を停止しており、Ledgerはヨーロッパの量販店から購入した改ざん済みユニットという未検証の主張を含め、他の地域での改ざんされたサイナーの報告を調査しています。
- •LedgerはCryptoBilis製デバイスの購入者に対し設定を行わないよう助言しており、すでに設定済みのユーザーは新しいリカバリーフレーズを設定した新しいデバイスに資産を移行し、Ledgerサポートまたは法執行機関に連絡するよう呼びかけています。
Ledgerは、東南アジアで事業を展開する販売代理店CryptoBilisが販売したハードウェアウォレット内部に、不正なハードウェアインプラントが隠されていたことを、同社のセキュリティ研究チーム「Donjon」が発見したと発表しました。この隠蔽された部品は、ウォレットの初期設定中にデバイスの24単語のリカバリーフレーズを画面から読み取り、プロビジョニングされたeSIMを使用してモバイル回線経由で単語を送信します。
本社をパリに置くハードウェアウォレットメーカーは、火曜日にXへの投稿でこの発見を発表しました。社内セキュリティ研究チームのLedger Donjonは、土曜日の10月10日、影響を受けた1人のユーザーのデバイスでインプラントを確認しました。Ledgerが金曜日に最初に公表したこのインシデントの確認済み損失はすべて、CryptoBilisを通じて販売されたデバイスに関連しており、同社はそれ以外で購入されたデバイスに関連する資産流出は確認していないとしています。
Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…
— (@Ledger) 2026年10月13日
ハードウェアウォレットは、ユーザーの秘密鍵をオフラインで保管するために設計された、セルフカストディの中核を担う存在です。Ledgerが「サイナー」と呼ぶ同社のデバイスは、初期設定時に画面に24単語のリカバリーフレーズを表示します。このフレーズを入手した者は、別のデバイス上でウォレットを復元し、資金を完全に掌握することができます。そのため、設定画面はフレーズがデバイスの外部に見える唯一の瞬間、画面を読み取るインプラントはデバイスの保護機能を改変することなく防御を突破できるのです。
Ledger Donjonの分析によると、インプラントはデバイスの筐体内部に取り付けられ、画面に表示される内容を読み取ります。リカバリーフレーズの画面を検知すると、マイクロコントローラが単語をデコードし、プロビジョニングされたeSIMを使用してLTE経由で送信します。
Ledgerによると、このインプラントは独立した部品であり、デバイスのSecure ElementやLedgerのOSを改変しておらず、取引や署名にも手を加えていないとのことです。また、Ledgerの説明によると、CryptoBilisは調査が続く中、Ledgerデバイスの販売を停止したことを確認しています。この事案は、デバイスが製造元の直接管理を離れて購入者に届くまでの間を経由する、ハードウェアサプライチェーンにおける第三者販売代理店の層にも光を当てています。
同社は、影響を受けたユーザーの総数や損失額についてはまだ確認しておらず、ネット上で出回っている数値は十分に検証されていない第三者によるものだとしています。オンチェーン調査会社Specterは、Ethereum、Tron、Bitcoinにまたがる8,600万ドル超の窃取疑惑を追跡しており、Decryptが金曜日に報じた通りです。
Ledger、CryptoBilis以外の報告も調査中
Ledgerは、他のサイナーや地域におけるインプラントの報告も調査していると発表しました。Xのあるユーザーは、ヨーロッパの量販店で購入した2台の改ざんされたLedgerデバイスを発見したと主張していますが、この主張は独立した検証を受けていません。
同社は、まだ設定を行っていないCryptoBilis製デバイスの購入者に対し、設定を行わず、Ledgerサポートに連絡するよう指示しています。すでに設定を済ませたユーザーは、資産を新しいリカバリーフレーズを設定した新しいデバイスに速やかに移行し、CryptoBilisで購入したデバイスにはいかなるリカバリーフレーズも入力・復元しないでください。
資金を失ったユーザーや改ざんされたデバイスを保有しているユーザーは、地元の法執行機関に届け出るべきだとLedgerは述べ、Ledgerサポートまたは警察に相談する前に、デバイスを誰かに送ったり、開封したりしないよう呼びかけています。
CryptoBilis以外で購入したユーザーは、Ledgerのガイドを使用してデバイス内部を点検できますが、同社はサイナーの開封がデバイスを損傷させる可能性があると警告し、まずリカバリーフレーズをバックアップするようユーザーに促しています。
Ledgerは、同社がユーザーに電話をかけたり、直接メッセージを送ったり、リカバリーフレーズを尋ねたりすることは決してないと改めて強調。同社によると、Donjonは受領したデバイスを分析し、調査の進展に伴いさらなる情報を共有するとしています。
