Ledger、CryptoBilis販売のウォレットに不正なハードウェア implant を確認、OneKey は販売店資格を取り消し
重要ポイント
- •OneKey は CryptoBilis の販売店資格を停止し、運営実体や最終受益者が確認できない再販業者の資格を取り消すなど、販売店ネットワークの全面見直しを実施しています。
- •CryptoBilis 経由で販売された Ledger ウォレットに搭載された疑わしい不正ハードウェア implant は、約 300 台のデバイスからおよそ 8,600 万ドルから 9,300 万ドルの窃盗に関連づけられています。
- •Ledger は自社のシステムと直接販売チャネルには影がないと述べ、CryptoBilis の顧客に対し未開封デバイスの初期化を避け、資金を直接発行のウォレットへ移すよう呼びかけています。
- •OneKey は、2026 年 3 月 1 日から 10 月 12 日の間に CryptoBilis から購入した顧客に対し、すでに有効化されたデバイスを含めて無償交換を提供します。締め切り日は 3 月の販売業者の管理権引き渡し報道に基づくものです。
- •CryptoBilis は 3 月に所有権が变更され、Jiaming と名乗る中国籍の個人に移ったと報じられていますが、新しい所有者とセキュリティ事件を結びつける確定した報告はありません。
OneKey の創業者兼 CEO である Yishi Wang 氏は、過去に認証した販売店の全面見直しを行った結果、同ハードウェアウォレットメーカーの「販売店ネットワークは大幅に縮小する」と発表しました。また、「運営実体が確認できない、または最終受益者が不明瞭な」販売店は資格を取り消され、公式ウェブサイトから削除されるとしています。Wang 氏は、OneKey がデバイスの販売店としての CryptoBilis の資格を取り消したことも確認しました。
この発表は、東南アジアの再販業者 CryptoBilis が販売した Ledger ウォレットの一台に不正なハードウェア implant が搭載されていたと報じられたことを受けたものであり、損失額が現在 8,600 万ドルから 9,300 万ドルと推定される暗号資産窃盗事件の調査が続いています。この一件は、デバイスが製造者からエンドユーザーに中間業者を経由して渡る、ハードウェアウォレット事業における再販業者の層を浮き彫りにしています。
Ledger は CryptoBilis ウォレットのハッキングについて何を語っていますか?
Ledger のサポートページで共有された 10 月 10 日の更新情報により、調査の結論が出るまでの間、CryptoBilis は同ハードウェアウォレットメーカーの製品を一切販売しないことが確認されました。この声明は、Ledger がX での公開声明において、少なくとも「影響を受けたユーザーのデバイスの一台に不正なハードウェア implant が搭載されていた」と述べた後に発表されました。
Ledger は、自社のシステムと直接販売チャネルには影響がないことを強調し、暴露されたデバイスはすべて CryptoBilis に遡ると指摘しました。再販業者経由のユニットと製造元から直接出荷されたデバイスの区別が、その後の顧客向けガイダンスの基礎となっています。
Ledger は、東南アジアの再販業者からウォレットを購入した人に対し、まだセットアップしていないデバイスを初期化しないよう勧めています。すでに CryptoBilis から購入したデバイスをセットアップした顧客は、再販業者経由ではなく、Ledger が直接発行したウォレットへ資金を移すよう勧められています。
これまでに、セキュリティアナリストは約 300 台の Ledger ウォレットからおよそ 8,600 万ドルから 9,300 万ドルが流出したと推定しています。
OneKey と SafePal の購入者が不安を感じている理由
これまでに窃盗が報告されているのは Ledger のウォレットのみですが、セキュリティへの懸念は他ウォレットメーカーの顧客にも広がっています。CryptoBilis は自社をマレーシアにおける Ledger、Trezor、OneKey、Tangem、SafePal、imKey などの正規販売業者として掲載しており、インドネシアやフィリピンでも事業を展開しています。
X への投稿で、Yishi Wang 氏はパニックを鎮めようと、「我々は CryptoBilis の資格を停止しました。同社は OneKey の正規販売店ではありません」と書きました。
Wang 氏はまた、現時点でのリスクを軽減しさらなる悪化を防ぐための、OneKey の三段階の対応を詳しく説明しました。
第一段階:OneKey は 10 月 12 日の声明の時点で、新規販売店の追加を停止しました。
第二段階:既存の全販売店は、過去に認証されたものを含め、新たな審査プロセスを経ることになります。「運営実体が確認できない、または最終受益者が不明瞭な」販売店は資格を失い、OneKey は正規販売店の全リストを公式ウェブサイトで公開します。
第三段階:2026 年 3 月 1 日から 10 月 12 日の間に CryptoBilis から OneKey デバイスを購入したユーザーは、無償交換の対象となります。すでにデバイスを有効化または使用したユーザーでも、無償交換を受け取ることができます。
Wang 氏によると、OneKey が 3 月 1 日を締め切り日として選んだのは、CryptoBilis の元共同創業者が、今年初めに買収された後、3 月に運営管理の引き渡しが完了したと公表していたためです。正規販売店の全リストが公式ウェブサイトに掲載されれば、購入者が販売者が現在有効な資格を持っているかを確認する際の基準となります。
OneKey の過去に報告された唯一のハードウェアの欠陥は 2023 年に遡ります。セキュリティ企業 Unciphered が実験室攻撃でデバイスのシードを抽出したもので、OneKey は脆弱性を修正し、報奨金を支払った上で、ユーザーへの影響はないと述べました。
現在、CryptoBilis の所有者は誰ですか?
新たな法人記録は、疑わしいサプライチェーン攻撃の前に、このマレーシアの再販業者で支配権の変更があったことを示しています。CryptoBilis の元共同創業者たちはLinkedIn で、3 月に同社を新しい所有者に引き渡したと述べており、報道によれば所有権は Jiaming と名乗る中国籍の個人に移ったとされています。
新しい所有者とこのセキュリティ事件を結びつける確定した報告はありません。
2026 年に入り、6 つのハードウェアウォレットブランドがセキュリティ問題を公表しています。Galaxy Research は Coldcard の事例での損失を 1 億 1,500 万ドル超と算定しており、10 月上旬の Ledger の開示は資金が流出した2番目の事例となります。Cryptopolitan は先週、顧客の KYC 記録が露出したBasedApp の情報漏えい事件も報じています。
