ハードウェアウォレットメーカーのTrezorは、Safe 5暗号資産ウォレット3台に悪意のあるハードウェア implant が発見されたことを受け、正規販売代理店ネットワークを約80%削減しました。再編と同時に、 implant による機密性の高いウォレット情報の取得を阻止することを目的としたファームウェアアップデートもリリースしています。

2026年11月12日公開の調査アップデートで、Trezorは、改ざんされた3台すべてが、かつて東南アジアの代理店であったCryptoBilisに由来することを確認しました。暗号資産の損失を報告した顧客はいないものの、同社は引き続き、新たに作成したウォレットへの資金移行を推奨しています。Trezorは調査結果を公式の調査アップデートで詳しく説明しています。

改ざんされた3台のウォレットが確認

implant は、2026年8月20日から9月23日の間に購入されたSafe 5で発見され、いずれもCryptoBilisから直接、または同社のTokopediaおよびShopeeのストアフロント経由で購入されたものでした。Trezorは改ざんされた1台を実験室で実物検査し、残り2台の implant は顧客から提出された写真から特定しました。

Trezorが10月に最初の警告を発した後、48人のCryptoBilisの顧客が支援を求めて同社に連絡しました。調査当局は、他の代理店から購入されたデバイスや他のTrezorモデルにおける改ざんの証拠は見つけていませんが、調査は現在も継続中です。

implant がウォレットデータを収集する仕組み

悪意のあるコンポーネントは、Safe 5のメイン基板とディスプレイの間に取り付けられた追加の回路基板です。画面に表示される情報、すなわちウォレットのリカバリーフレーズやパスフレーズを密かに取得し、盗んだデータを暗号化してモバイルネットワーク経由で攻撃者管理のサーバーへ送信します。接続に失敗した場合、 implant はデータを保存し、後で送信を再試行します。

リカバリーフレーズはハードウェアウォレットのマスターバックアップです。互換性のあるデバイスであればどこでもウォレットの鍵を再生成できるため、フレーズを取得されることは、保護対象の資金のコントロールを取得されることに等しく、デバイス本体に再び触れなくても影響が及びます。

注目すべきは、 implant がウォレットの元のファームウェアやSecure Elementを改変していない点です。つまりデバイスの中核的なセキュリティコンポーネントは変更されておらず、この改変がそうしたコンポーネントが保護する暗号コアの外部で動作し、ウォレットの内部操作を変更するのではなく画面に表示される内容を収集していることから、この攻撃は特に懸念されるものとなっています。

ファームウェア修正とより厳格なサプライチェーン管理

Trezorは11月11日、特定された implant による追加情報の取得を阻止するため、ファームウェア バージョン2.13.1をリリースしました。しかし、このアップデートでは攻撃者によってすでに取得されている可能性のあるリカバリーフレーズを保護することはできません。そのため同社は、CryptoBilisの顧客に対し、新しく生成したリカバリーフレーズで新しいウォレットに暗号資産を移行するよう勧めています。この2つの対策は異なるリスクに対応します。ファームウェアのパッチはインストール後のさらなる取得を阻止し、新しいウォレットはリカバリーフレーズがすでに漏洩している場合に資金を保護します。2026年3月以降にCryptoBilisからTrezorデバイスを購入した顧客も交換対象となります。

並行して、Trezorは販売代理店ネットワークの約5分の4を削除し、デバイスの調達、保管、取り扱いに関するより厳格な要件を導入しました。同社は、削除されたパートナーが必ずしもセキュリティ上の脅威ではなかったと強調しており、この再編はサプライチェーン保護を強化し、今後のハードウェア改ざんの機会を減らすことを目的としています。購入者にとって、この一件は、ハードウェアウォレットのセキュリティが暗号技術だけでなく、デバイスが工場から購入者の手に届くまでの物理的な経路にも依存していることを想起させるものです。その経路が第三者の販売業者やマーケットプレイスのストアフロントを経由する場合、メーカーの直接の監督の外に置かれることになります。