Ledgerは、東南アジアで事業を展開する販売代理店CryptoBilisを通じて同社のハードウェアウォレットを購入した顧客に絡む暗号資産窃盗の報告を調査している。同社は2026年10月9日にこの調査を公表した。これに先立ち、オンチェーン調査者Specterの推計では、本件に関連する不審なアドレスに、Bitcoin、Ethereum、TRONの各ネットワークで合計8,600万ドルを超える資金が流入したとされる。

ハードウェアウォレットはユーザーの秘密鍵をオフラインで保管するために設計されており、Ledgerはそうしたデバイスの主要メーカーの一つだ。このオフラインモデルこそが製品の魅力の基盤となっている。秘密鍵はデバイス上に留まり、インターネットに接続されたコンピューターから離れて管理されるべきものであり、それだけに、デバイスが工場出荷状態のまま手元に届くことが極めて重要となる。

調査の進展に伴い、LedgerはCryptoBilisに対してLedgerデバイスの販売および出荷の停止を要請した。また、X上のLedgerサポートアカウントに投稿された警告によると、過去90日以内にこの販売代理店からデバイスを購入した顧客に対し、セットアップを行わないよう呼びかけている。

CryptoBilisから購入したデバイスをすでにアクティブ化した顧客には、資産を新しいLedgerサインナーへ移すことが推奨された。さらにLedgerは、交換後のセットアップにけて新しいリカバリーフレーズを生成するよう勧めている。

リカバリーフレーズとは、暗号資産ウォレットへのアクセスを回復するために用いられる一連の単語のことであり、このフレーズを知る者は実質的に資金を支配できる。そのため、ユーザーはこのフレーズを決して他人と共有したり、信頼できないウェブサイトに入力したりしないよう繰り返し注意喚起されている。正規のフレーズはセットアップ時にデバイス自体によって生成されるものであり、販売業者や第三者から提供されたフレーズは決して使用してはならない。

Ledgerは報告された窃盗の原因を特定しておらず、損失総額や影響を受けた顧客数についても確認していない。したがって、事件の原因と損失の正確な規模はいずれも依然として不明なままである。

オンチェーン調査者、数百万ドル規模の資金を不審アドレスまで追跡

Specterは、数百人の被害者から入金を受けた不審なウォレットアドレスを追跡できたと述べた。こうした追跡は、アドレス間の送金が誰にでも閲覧可能なブロックチェーン台帳の公開性に依拠している。分析の対象はBitcoin、Ethereum、TRONに及んだが、報告されたすべての事案が関連しているという確認は得られていない。

調査者の推計によると、特定されたアドレスには合計で約8,700万ドルが保有されていた。内訳はEthereum約4,200万ドル、Bitcoin約1,760万ドル、そしてテザーのドル連動ステーブルコインUSDT約1,650万ドルである。これらの金額は不審アドレスにおける報告された保有額を示すものであり、独立検証済みの最終損失額ではない。そのため、調査者が取引の分析を続ける中で、ドル建ての損失総額は依然として不明である。

Ledgerは、同社のハードウェアウォレットや基盤インフラへの直接攻撃を示す証拠はないと表明している。とはいえ、影響を受けた顧客がどのように資金へのアクセスを失ったのかは、調査でstill解明する必要がある。

サプライチェーン攻撃の疑い、ハードウェアウォレットのセキュリティに焦点

Xへの投稿で、Binance創設者のChangpeng Zhao氏、いわゆるCZは、この事件は「孤立したものと思われる」と述べ、報告は単一の販売代理店によるサプライチェーン攻撃の結果である可能性があると示唆した。

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently.

Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers.

Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

サプライチェーン攻撃では、犯罪者が製品が顧客に届く前に干渉を行う。デバイスが輸送中に改ざんされたり、攻撃者がすでに知っているリカバリーフレーズとともに製造されたりする可能性がある。つまり、侵害はデバイスが所有者の玄関に届く前に発生していることになる。

旧Mt. GoxのCEOであるMark Karpelès氏も、サプライチェーンへの潜在的な干渉について懸念を表明した。ただし、デバイスが改ざん、交換されたのか、あるいは漏えいしたリカバリーフレーズとともに提供されたのかについては、調査者はまだ確認していない。

そのため、顧客はすべてのLedgerデバイスと代理店が同じリスクを持つと想定すべきではない。入手可能な情報は特定の販売者に問題がある可能性を示しているが、調査は続いている。

CZはさらに、BNBエコシステムの参加者や暗号資産コミュニティ全体も盗まれた資金の追跡を支援すると付け加えた。ただし、取引の追跡が調査者による資産の回復を保証するものではない。

Ledgerは現在、過去90日以内にCryptoBilisからデバイスを購入した顧客に警告を発している。影響を受けたユーザーは、公式の発表に従い、Ledgerへは公式チャネルを通じてのみ連絡するよう求められている。

今回の事件は、ハードウェアウォレットを信頼できる購入元から入手すること、そして販売業者やいかなる第三者から提供されたリカバリーフレーズも決して使用しないことの重要性を浮き彫りにしている。

出典:Live Bitcoin News