元Mt. Gox CEOが明かす、Ledgerが早期に受けたハードウェアウォレット植入報告
重要ポイント
- •元Mt. Gox CEOのMark Karpelès氏によると、暗号資産教育者のTai Zen氏を含む少なくとも2人が、2025年12月の時点で改ざんの疑いがあるデバイスについてLedgerに連絡していたが、同社からの公的な警告はなかった。
- •セキュリティ研究者のJoe Grand氏は2026年3月4日、Lazadaタイの第三者販売者から購入したNano Xに悪意のある植入があったことをLedgerに通知。同社は社内調査を行ったものの、顧客への積極的な警告はなかったと述べた。
- •Ledgerのセキュリティ危機が公になったのは10月9日。東南アジアの正規代理店CryptoBilis経由で販売されたウォレットによる損失が報告され、Ledgerは1台のデバイスに不正な植入があったことを確認した。
- •改ざんされたLedgerはLazadaの「LedgerXXX」という販売者から購入されたもので、同販売者はタイの正規代理店ディレクトリには掲載されていないが、LazadaのLedgerストアフロントは掲載されている。
- •Trezorは2026年8月、TikTokやFacebook上の非正規販売者から購入された改ざん済みTrezor OneおよびModel Tウォレットの報告を受けており、こうした報告を早期警戒として扱っている。一方OneKeyは、より厳格なチェックまで販売代理店の出品を取り下げた。
フランスのハードウェアウォレット大手Ledgerが、最新のセキュリティ危機に先立つ数か月間で、悪意のあるハードウェア植入に関する複数の報告を受けていたことが、破綻したビットコイン取引所Mt. Goxの元CEOであるMark Karpelès氏の話で明らかになった。
Karpelès氏がCointelegraphに語ったところによると、同氏は2025年12月にまで遡る改ざんされたデバイスについてLedgerに連絡した少なくとも2人の存在を把握しているという。しかし、同社がそれに対応して発出した公的な警告を目にしたことはないと述べた。
セキュリティ研究者のJoe Grand氏はCointelegraphに対し、2025年8月にオンラインマーケットプレイスのLazadaタイで購入したNano Xに悪意のある植入が見つかったとして、2026年3月4日にLedgerへ通知したと説明した。Grand氏によると、Ledgerは同氏の調査結果を認め、社内で調査中だと回答したが、Grand氏は同社が脅威について顧客に積極的に警告しなかったことを批判した。
またKarpelès氏によれば、ベトナムの暗号資産教育者であるTai Zen氏も、2025年12月にハードウェアウォレットの植入の疑いについてLedgerに連絡していた。
Ledgerの進行中のセキュリティ危機が表面化したのは10月9日、つまりGrand氏の警告から約7か月後のことだった。東南アジアで正規代理店として認められたCryptoBilis経由で販売されたウォレットに関連する暗号資産の損失が報告されたのである。Ledgerは、影響を受けた1台のデバイスに不正な植入があったことを確認している。Grand氏が報告した第三者マーケットプレイス販売者のデバイスの植入とは異なり、10月の損失は正規の地域代理店を通じて販売されたウォレットによるものだった。
Grand氏の開示への対応について質問されたLedgerは、コメントを控え、X上の公式声明を参照するようCointelegraphに伝えた。Grand氏が述べた社内調査の結果や、Ledgerが改ざんされたデバイスについて顧客に積極的に警告するかどうかは、事態が続く中で依然として未解決のままである。
「怪しい販売業者から購入Ledgerに植入が見つかった一件にLedgerが対応しないのは、普通のことかもしれない」とKarpelès氏は述べ、その上で次のように付け加えた。「しかし、同社が受け取ったはずの報告の増加、そして使われている品質・技術の高度化は、行動を起こし、少なくとも顧客に注意を促す程度の警鐘になっていたはずだ。」
マーケットプレイスの出品が浮き彫りにした販売代理店確認の不備
Cointelegraphと共有されたプレゼンテーションの中で、Grand氏は改ざんされたLedgerの販売者をLazada上の「LedgerXXX」と特定した。執筆時点で、LedgerXXXはタイの正規販売代理店リストには掲載されていないが、LazadaのLedgerストアフロント自体は掲載されている。
Cointelegraphは、デバイス購入時点での販売者の身元および正規認定の状況について、Grand氏とLedgerの双方に説明を求めた。
ハードウェアウォレットメーカーOneKeyの販売責任者Archie氏はCointelegraphに対し、Lazadaのようなマーケットプレイスには多数の独立系販売者が出品しており、顧客が正規ストアとその他の商品を見分けるのは難しいと語った。最近の事態を受けて、OneKeyはより厳格なチェックが完了するまで販売代理店の出品を取り下げた。信頼できる販売者を購入者だけで見分けることに頼るのではなく、メーカーが顧客を保護する責任を負うべきだとしている。
非正規のウォレット販売は依然としてセキュリティ上の懸念を提起
Grand氏の調査結果はLedgerにとどまらなかった。2026年8月には、TikTokやFacebook上の非正規販売者から購入された、改ざんされたTrezor OneおよびModel TウォレットについてTrezorにも警告していた。
TrezorはCointelegraphに対し、非正規販売者を通じて偽造ウォレットが時折出現することに触れ、2022年にロシアのマーケットプレイスで販売された改造デバイスについて警告していたと説明した。同社は、侵害されたデバイスの証拠はないとする最近の主張は、正規代理店を通じて販売される新規ウォレットにのみ当てはまると述べた。
関連:Ledger改ざん報告を受ける中、Trezorが「予防的措置」として販売代理店を削減
その一方でTrezorは、非正規販売者に関する報告を早期警戒として扱い、研究者の調査結果をセキュリティチェックの改善に活用していると述べた。
「状況を変えるのは、新しい手法の出現、あるいは正規チャネル経由で初めて発生した事例だ」とTrezor氏は述べた。「どちらの場合も、問題が一般の購入者に近づいたことを意味し、その際には顧客への直接の警告を含めて最速で動くことになる。」
