ハードウェアウォレットメーカーのTrezorは、自社デバイスの販売を許可する正規販売店の数を大幅に削減すると発表した。正規リストからの削除は2027年1月1日に発効する。同社はこの決定を、ハードウェアウォレット業界に影響を与えている最近のサプライチェーンインシデントへの対応として「慎重を期して講じた予防的措置」と位置づけている。正規販売店とは、メーカーが正式に承認しデバイスの販売を許可する第三者小売業者のことである。

この発表は火曜日のXへの投稿で行われた。Trezorはその中で、自社のデバイスが侵害されたことを示す「証拠は一切ない」と述べた。

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with. Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step, taken…

— Trezor (@Trezor) October 13, 2026

最高商務責任者のDanny Sanders氏は、一部の販売店には2027年1月1日に正規リストから削除されることがすでに通知済みであると述べた。さらに、該当販売店への出荷は火曜日に停止すると付け加えた。

Trezorはまた、一部のパートナーに送付した書簡も公開し、その中でハードウェアウォレットは「所有者の手に届くまでの経路の安全性にしか依存しない」と述べた。書簡によると、同社は残りのすべてのパートナーを審査できる規模にまで販売店ネットワークを縮小したい考えだ。プログラムに残るパートナーは、更新された法的枠組みの適用を受け、デバイスの調達・保管・取り扱いに関するより綿密なチェックの対象となる。

To the resellers who helped build Trezor: thank you, and I'm sorry 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Ledgerで何が起きたのか

この決定は、東南アジアの販売店から購入された少なくとも1台のLedgerデバイスに、不正なハードウェアインプラントが含まれていたことをLedgerが確認した数日後に行われた。当該販売店はCryptoBilisである。
報道によると、インプラントはデバイスにはんだ付けされていた。インプラントはユーのリカバリーフレーズを盗み取り、移動体通信ネットワーク経由で送信していた。リカバリーフレーズとは、セルフカストディ型ウォレットのマスターバックアップであり、ウォレットのすべての秘密鍵を再生成できる一連の単語のことである。そのため、これを入手した者はハードウェアに触れることなく資金を持ち去ることができる。この事例は、サプライチェーン攻撃の仕組みも示している。侵害は工場と購入者の間、つまりソフトウェアではなく物理的な流通経路で発生するのだ。

このインシデントは2026年10月9日に発覚した。第三者販売店経由で販売されたデバイスが攻撃者によって改ざんされたとされる。

CryptoBilisはTrezorの正規販売店でもある。同社は調査の間、すべてのハードウェアウォレットの販売を停止した。

別の動きとして、MediaMarktの親会社は、Ledger製品をすべての実店舗およびオンラインプラットフォームから撤去したと発表し、この措置を予防策だと説明した。

損失額はどのくらいか

ブロックチェーン研究者らは現在も損失総額の算定を進めている。2名の研究者による調査では、損失は7,200万ドルから8,600万ドルと推定されており、その他の報道では総額9,300万ドルとされている。

Ledgerは火曜日、影響を受けたユーザーの総数も損失総額も確認できていないと述べた。

Trezorの対応

Trezorの広報担当者はCointelegraphに対し、同社のセットアップチェックは偽造デバイスや改ざんされたファームウェアを検出できるように設計されていると語った。CryptoBilisのデバイスで見つかったインプラントは、これとは異なる動作をするという。

広報担当者によると、このインプラントはデバイスのファームウェアを変更しない。代わりに、画面に表示される情報を読み取り、後から攻撃者へ送信する。この挙動は、デバイスの秘密がハードウェアの外部に出ないことを前提とするハードウェアウォレットのセキュリティモデルの外側にある。Trezorは、実際の環境で自社デバイスに対してこの種の攻撃が行われた例は確認していないと述べた。

同社はユーザーに対し、Trezorから直接購入し、デバイスの封印が完全であることを確認するよう呼びかけている。また、異なるメーカーのデバイスを使ったマルチシグネチャウォレットの利用も提案しており、これにより1台のデバイスが侵害されても単独で資金を移動することはできない。

ハードウェアウォレットにとって厳しい1年

報道によると、ハードウェアウォレット企業は今年、データ漏洩、レーザーフォルトインジェクションの脆弱性開示、ファームウェアのエントロピーバグなど、およそ10件近くのインシデントに直面している。レーザーフォルトインジェクションとは、集束した光を使ってチップに誤動作を引き起こし、セキュリティチェックを迂回する可能性がある物理的な手法であり、エントロピーバグとは、暗号の生成が依存する乱数の弱さを指す。

Trezor自身も8月にインシデントを経験した。第三者のフルフィルメントプロバイダーでのデータ漏洩により、数万人の顧客の個人情報が流出したのである。

最新の動きとして、Trezorによる販売店の削除は発表から3か月弱後の2027年1月1日に発効する。調査当局はLedgerインシデントに関連する損失の全容の解明を進めている。