Trezor、CryptoBilis購入者へSafe 5のハードウェア埋め込み報告を受け警告
重要ポイント
- •Trezorは2026年10月30日、代理店CryptoBilisから購入されたTrezor Safe 5内部にハードウェア埋め込みがあったとする顧客の報告は、実験室での検査前に対応するだけの信頼性があるとする警告を発しました。
- •疑いのある埋め込みは、セルラーモジュールとアンテナを備えた追加の基板で構成され、画面の内容(シードフレーズを含む)を読み取り、デバイスが電源に接続されるとモバイルネットワーク経由でデータを送信するといいます。
- •2026年3月以降にCryptoBilisから任意のTrezorモデルを購入した顧客は、古いバックアップの復元ではリスクが解消されないため、新しいシードフレーズで生成したウォレットへ資金を移すよう勧められています。
- •Trezorは、Ledgerが同じチャネルで販売された物理的に改ざんされたデバイスに関連する資金損失の調査を開始したことを受け、2026年10月9日にCryptoBilisを公式代理店から解消しました。
- •これまでにCryptoBilisの顧客からTrezorへの資金損失の報告はなく、影響を受けた購入者は引き続き直接発送される交換デバイスまたはバウチャーの対象です。
ハードウェアウォレットメーカーのTrezorは、代理店CryptoBilisからデバイスを購入した顧客に向け早期の警告を発し、Trezor Safe 5内部にハードウェア埋め込みがあったとする報告は、実験室での検査が完了する前に対応するだけの信頼性があると述べました。Trezorの開示によれば、2026年3月以降にCryptoBilisからTrezorを購入した人は、デバイス上の資金を新しいシードフレーズから生成したウォレットへ移すべきとしています。
同社は2026年10月30日に発表しました。セキュリティチームは10月28日に報告を受け取っています。その報告では、購入者が2026年8月にインドネシアのマーケットプレイスTokopedia経由でCryptoBilisから購入したTrezor Safe 5に、ハードウェア埋め込みが組み込まれていたと主張されています。Trezorはまだ当該ユニットを実際に検査していませんが、ビデオインタビューに裏付けられた顧客の説明を信頼できるものとして扱っていると述べました。同社は実験室での確認を待たずに購入者へ警告することを選択しました。これまでにCryptoBilisの顧客からTrezorへの資金損失の報告はありません。
埋め込み報告の内容
Trezorの開示によると、Safe 5のメインボードと画面の間に追加の基板が取り付けられていたといいます。この基板にはセルラーモジュールとアンテナが搭載されています。報告によれば、疑いのある埋め込みは画面に表示されるすべての内容(ウォレットのバックアップを含む)を読み取り、デバイスが電源に接続されるとそのデータをモバイルネットワーク経由で送信するものです。問題のバックアップとはシードフレーズのことで、ハードウェアウォレットの初期設定時に生成される一連の単語であり、それ単体でウォレットを復元し、別のデバイスから資金を使用できるものです。この説明が正しければ、この種の埋め込みはウォレットを完全に支配する唯一の情報を露呈させることになります。
Trezorは、この構成が同じ代理店が販売したLedgerデバイスで見つかった埋め込みに類似していると述べた一方、調査が進行中の間はその関連を確定しないとしています。
報告は、インドネシアの顧客がTrezorの責任ある開示プログラムを通じて提出したものです。その顧客は埋め込みを発見する前にすでに資金をデバイスから移していました。Trezorは報告者と、Security Allianceの緊急対応サービスであるSEAL 911に感謝を示しました。両者は本件と影響を受けた購入者へのサポートに協力しました。
すべてのCryptoBilis購入者が対象となる理由
CryptoBilisは2026年10月まで東南アジアにおけるTrezorの公式代理店でした。10月9日、Ledgerは同代理店からデバイスを購入した顧客の資金損失の調査を開始し、その後、一部のデバイスが物理的に改ざんされていたと述べました。CryptoBilisはTrezor製品も販売していたため、Trezorは同日に代理店との関係を解消し、顧客のデバイスの確認を開始しました。
10月28日の報告は、Trezorによれば、この販売チャネルから入手した自社ユニットにおける埋め込みの可能性を示唆する初めての報告です。同社は、このガイダンスが報告で名指しされたSafe 5に限らず、CryptoBilisから購入されたすべてのTrezorモデルを対象とすると述べています。他の代理店に関する報告は受けていません。
本件は、密封されたハードウェアウォレットのセキュリティ保証が、購入者の手に渡る前に谁がデバイスを扱ったかに依然として左右されることを浮き彫りにしています。残る二つの未解決の疑問は、報告されたSafe 5の実験室検査が顧客の説明を裏付けるかどうか、そして同じチャネルで販売されたLedgerデバイスの埋め込みに関する進行中の調査がどのような結論に達するかです。
影響を受けた購入者が取るべき対応
Trezorは、2026年3月以降にCryptoBilisからTrezorを購入し、デバイス上に資金を保持しているすべての人に対し、できるだけ早く資金を新しいシードで新規作成したウォレットへ移すよう勧めました。改ざんされたユニットではシードがすでに漏洩している可能性があるため、古いバックアップを別のデバイスで復元してもリスクは解消されません。セカンドの安全なハードウェアウォレットを持たない購入者は、一時的にソフトウェアウォレットや信頼できる取引所に資金を置くことができ、送金前に受信アドレスの全文を確認すべきです。
同社はまた、このチャネルから入手した未開封のデバイスを初期設定せず、既存のウォレットバックアップを決して入力しないよう指示しました。Trezorは、サポートチームがリカバリーフレーズを尋ねることは決してないと強調しています。さらに、詐欺師がこのニュースをフィッシングに悪用する可能性が高く、偽のメール、書面、電話がすでにリスクとなっていると警告しました。
影響を受けたCryptoBilisの購入者は、引き続き直接発送される新しいTrezorまたは交換用バウチャーの対象となります。CryptoBilisのデバイスを保管し、サポートに連絡する必要があります。
