いわゆるタスク詐欺を実行していたハッカーが、Ledgerハードウェアウォレットのインプラント窃盗事件により約60BTC(約480万ドル)を失い、詐欺の実行犯がこの事件で最大級の個人被害者となった。

Chainalysisによると、詐欺の実行犯は9月22日、事件による収益を3つのLedgerウォレットに送金していた。10月9日には、攻撃者がすべてのビットコインを、盗難資金に使用されていることが既に知られていた単一のウォレットへ移した。

実行犯がこの事件で最大級の被害者となったが、これは詐欺の本来の被害者が資金を取り戻したことを意味しない。

タスク詐欺が標的を引き込む仕組み

実行犯は、架空の売買やレビューを作成させるために個人に報酬を支払い、その後「マイナス残高」を通知して、報酬を受け取るために現金を入金するよう促したとされている。

FTCは2024年、同様の手口を報告している。小規模なオンライン作業で少額の報酬を積み重ねて信頼を築かせ、参加者に自己資金の拠出を求める段階に至るというものだ。同庁は2024年上半期にタスク詐欺に関する報告が約2万件、職を装った詐欺による損失総額が2億2000万ドルを超えると推定した。

Ledgerの声明によると、犯罪者は正規のデバイスを購入し、内部に悪意あるコンポーネントを隠し、改ざんされたハードウェアを東南アジアの流通チャネルに戻していた。インプラントはセットアップ時に24語のリカバリーフレーズを抽出でき、犯罪者は遠隔からウォレットにアクセス可能となった。24語のリカバリーフレーズはハードウェアウォレットのマスターバックアップであり、これを入手した者は別のデバイスでウォレットを復元し、ハードウェアに触れることなく資金を移動できる。

Ledgerは自社のシステムは安全であり続けていると述べ、正規販売店に対し、デバイスを公の前に展示せず、購入時にのみ渡すよう勧告している。

6チェーンにわたる1億200万ドルの損失

Ledgerは損失総額をまだ確定していない。Bitqueryは、TRON、Bitcoin、Ethereum、Solana、BNB Chain、Polygon上の324ウォレットで損失が1億200万ドルに上ると推定しており、これは従来の約8600万ドルから上方修正された。集計はすでに一度上方修正されている。

Bitqueryの調査により、被害を受けたデバイスは、インドネシア、マレーシア、フィリピンで事業を展開する販売店CryptoBilisを通じて入手されていたことが判明した。調査では、盗難資金の組織的な移動も明らかになり、その中にはTetherがその後凍結した1000万ドル相当のUSDTが含まれる。その他の盗難資産はTornado CashとTHORChainを通じて追跡された。

この窃盗事件がセルフカストディに意味するもの

Ledgerの窃盗事件は、暗号資産セキュリティへの懸念を強めるものとなっている。TRM Labsによると、2026年上半期にハッカーは207件の攻撃を実行し、9億7200万ドルを盗んだ。インフラおよび運用への侵害は全体の15%に過ぎなかったが、損失全体の76%を占めており、このインプラント攻撃もそのパターンに合致する。攻撃はウォレットの暗号技術ではなく、デバイスを購入者に届けた流通チェーンを悪用したものだった。

Ledgerの窃盗事件が世界の暗号資産価格を動かしたことは示されていない。Chainalysisによると、暗号資産の時価総額が約50%下落した期間に、オンチェーンの経済活動はわずか1.6%減少した。ただし、これらの数値は今回の攻撃より前のものだ。

窃盗事件の市場全体への影響は依然として不明だが、業界は既にサプライチェーンの脆弱性、すなわちデバイスが製造元から購入者へ届く過程の弱点への対処に動いている。Cryptopolitanが報じたところによると、Trezorは2027年1月1日から一部販売店の認可を取り消す一方、OneKeyはCryptoBilisとの関係を解消した。これらの措置はハードウェアウォレット流通における特定された弱点に対処するものだが、セルフカストディへの信頼を回復できるかは今後の課題である。