Tetherは、販売代理店CryptoBilisが販売したLedgerハードウェアウォレットから最大9,300万米ドルの資産が流出した窃盗事件に関連し、同社のステーブルコインUSDT1,000万米ドル相当を凍結しました。この凍結は、調査官が盗まれた資金の流れを追跡し続ける中で行われたものであり、Ledgerは本件が単一の第三者販売業者が販売したデバイスに限定的なものであるとの見解を維持しています。

Ledgerがこれまでに確認していること

フランスの暗号資産ウォレットメーカーであるLedgerは、損失額についてまだコメントしていません。同社は、確認されたすべての事例が、マレーシア、インドネシア、フィリピンで営業していた第三者販売業者CryptoBilisが販売したデバイスに関係していると述べています。また、Ledger自身のシステム、サービス、直販に侵害の兆候はないことも強調しています。この区別は、ハードウェアウォレットのセキュリティモデルが、デバイスが改ざんされずに所有者に届き、秘密鍵がデバイスから決して出ないことに基づいているため、重要です。

本件は、ソフトウェア関連の脆弱性を超えて、物理的な改ざんの側面も帯びています。10月10日、同社は、被害を受けたユーザーの1人が不正な物理インプラントが取り付けられたデバイスを所有していたと発表しました。これは本件におけるLedgerウォレットの物理的侵害の最初の証拠です。

同社から購入者へのメッセージは明確です。過去90日以内にCryptoBilisのデバイスを購入し、まだ設定していない場合は、触れないでください。現在使用している場合は、新しいリカバリーフレーズで別のデバイスにコインを移してください。新しいフレーズの強調がこの助言の核心です。リカバリーワードはハードウェアウォレットのマスターバックアップであり、フレーズだけですべての互換デバイス上でウォレットを復元できます。公式チャネルのみで購入し、設定時にデバイスの真正性を確認することが、この種の販売前改ざんに対する標準的な防御策です。

調査官が損失額を算定した方法

損失額はLedgerではなくオンチェーンアナリストによるものです。Bitqueryは、この攻撃で6つの異なるブロックチェーン上の315のウォレットから、主にUSDTとTRONコインの9,320万米ドルが流出したと推計しています。セキュリティプラットフォームYFarmXはさらに高い数字を挙げ、7つの異なるブロックチェーン上の521のウォレットから9,450万米ドルが奪われたと主張しています。いずれの推計も公開されているチェーンデータに基づいています。\nBitqueryの分析によると、盗まれた資金の大部分はTRON上の約7,050万米ドルで、次いでBitcoinが1,680万米ドル、Ethereumが370万米ドル、BNB Chain、Polygon、Solanaでははるかに少額でした。

この攻撃は数か月にわたって計画されたとされています。窃盗に関わるアドレスは9月25日に作成され、10月初旬まで何十回ものテスト送金を行っていました。主要な資金移動は10月9日に発生し、Bitqueryによれば、攻撃者は30のTRONウォレットの権限を書き換えた後、1時間後に111のBitcoinウォレットから約203.8 BTCを単一ブロック内で移送しました。この種の操作は、攻撃者が必要な鍵を保有している場合にのみ実行できます。

これは、ステーブルコインの発行者が違法活動に使用されるトークンをブラックリストに登録できるため、重要です。Tetherの凍結を検証したBitqueryは、10月11日時点で約8,100万米ドルの追跡可能なトークンがオンチェーンに残っていたと報告していますが、一部の資金はすでにミキシングサービスのTornado CashとZcashを通過しています。Tornado Cashは取引をプールして痕跡を不明瞭にし、Zcashは送信者、受信者、金額を隠すように設計されたシールド付き送金を提供します。そのため、追跡可能な残りのうちどれだけが凍結されるか、ミックスされた資金の一部をまだ追跡できるかどうかが、本件の自然な次の焦点となります。

正規販売代理店をめぐる反発

Ledgerによる本件をCryptoBilisの問題とする見方は、異論なく受け入れられたわけではありません。当該販売業者はウェブサイトに公式のLedgerバッジを表示しており、批判者はこれによりLedgerに責任があるとしています。「これはCryptoBilisの事件ではなく、Ledgerの事件だ」とXユーザーのMyCryptoParadiseは述べ、同社に対して「この混乱の責任を取る」よう求めました。この論争は、ハードウェアウォレット事業の構造的特徴に触れるものです。メーカーは販売代理店に流通の拡大を依存していますが、追加される仲介者のすべてが、メーカーが直接管理しないチェーンのリンクとなります。

販売業者の所有権には経緯もあります。共同創設者の一人Arravind Prabu氏によると、CryptoBilisは2026年3月に買収され、買収時にチーム全体がすべてのシステムアクセスを引き継いだとLearning Cryptoで引用されています。同社の報道された記録によれば、唯一の新規投資家は中国に登録されていました。これまでのところ、窃盗と所有権変更との間に関連性は確認されておらず、調査では新規投資家に関連する改ざんは見つかりませんでした。

CryptoBilisは、取り扱うすべてのブランドの販売と配送を停止し、3か国すべての実店舗を閉鎖しています。

Mark Karpelès氏が分解したインプラント

改ざんされたハードウェアを最も明確に観察したのは、おそらくMt. Goxの創設者Mark Karpelès氏です。Karpelès氏はマレーシアで購入したLedger Nano Xを分解し、Learning Cryptoの報道によると、画面の下にされた追加コンポーネントを発見しました。携帯モデム、eSIM、画面に表示される内容を傍受できる小型チップです。

ウォレット設定時、リカバリーワードはその画面に表示されます。表示データを傍受できるコンポーネントは、これらのワードをモバイルネットワーク経由で送信することを可能にし、その結果、ウォレットを別の場所で再現して資金を盗むことができます。この種のインプラントはサプライチェーン攻撃の一例です。これは、デバイスが遠隔で侵害されるのではなく、製造から配送までの間のどこかで改ざんされるものであり、部品が正常に動作する本体の画面の下にあったため、通常の購入者が発見することは困難でした。すべてのデバイスにそのようなコンポーネントが含まれていたかどうかはまだ証明されておらず、今後さらにインプラントが施された本体が発見されるかどうかは、調査における未解決の問題です。

なお、本件は、3月に報告された別の窃盗事件とは異なります。後者は4月に発生し、フィッシャーがAppleのApp Store上のLedger Liveアプリケーションを悪用して少なくとも950万米ドルを盗んだものです。