ハードウェアウォレットメーカーのTrezorは、リセラーCryptoBilisから同社端末を購入した顧客に対し、資金の移動を呼びかけました。これは、ある購入者がTrezor Safe 5の内部にハードウェアインプラントを発見したと報告したことによるもので、同社が金曜に明らかにしたものです。

Trezorは、2026年8月にCryptoBilisから購入されたSafe 5にインプラントが存在するという信頼できる報告を受けたと述べた一方で、まだ端末を実検していないとしています。報告によると、このインプラントは画面からウォレットバックアップを読み取り、モバイルネットワーク経由で送信するといい、同社はこの動作がLedgerの事例と類似しているように見えると説明しています。

インドネシアの顧客が10月28日、Trezorの責任ある開示プログラムを通じてこのインプラントを報告しました（同社のブログ記事による）。当該のSafe 5は、2026年8月にインドネシアのECプラットフォームTokopediaを通じてCryptoBilisから購入されていました。

TrezorはXへの投稿で次のように述べています。

CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) October 30, 2026

この報告は、端末のメインボードと画面の間に取り付けられた、セルラーモジュールとアンテナを備えた追加の回路基板について記述しています。Trezorが検証していないとするこの報告によれば、この基板は画面に表示される内容（ウォレットバックアップを含む）を読み取り、端末が電源に接続されるたびにモバイルネットワーク経由で送信するといいます。

端末が工場を出た後、購入者の手に渡る前に施される改ざんは、一般的にサプライチェーン攻撃と呼ばれます。これは、端末が未開封の状態で届くことにセキュリティが依存するハードウェアウォレットにとって特有の脅威モデルです。報告されているようなインプラントは、暗号技術を破る必要はなく、端末自体が表示する内容を捕捉するだけで機能します。

Trezorはまだ端末を受け取っていませんが、顧客の説明とビデオインタビューに基づき、この報告を信頼できるものとして扱っていると述べています。「これまでに確認した内容は十分に高度なものだったため、今すぐ顧客に警告することを決めました」と同社は述べ、「検査室での確認を待っていれば、その間もCryptoBilisの購入者が危険にさらされ続けることになる」と説明しています。

同社によると、CryptoBilisの購入者からTrezorへの資金流出の報告はありません。

ハードウェアウォレットはユーザーの秘密鍵をオフラインで保管します。一方、リカバリーフレーズ（端末の初期設定時に生成される一連の単語）は、新しい端末で資金へのアクセスを復元するために使用できます。リカバリーフレーズはセットアップの中で最も機密性の高い要素であり、これを入手した者は自分の端末上でウォレットを再作成して資金を管理できるため、一度単語が目にされるとその漏洩は取り消せません。

Trezorは、2026年3月以降にCryptoBilisから同社ウォレットを購入したすべての人に対し、できるだけ早く新しく作成したウォレットに新しいリカバリーフレーズで資金を移動し、古いフレーズをどの端末でも再利用しないよう呼びかけています。まだ端末を初期設定していない購入者は使用しないでください。影響を受けた顧客はCryptoBilis製の端末を保持したまま、Trezorサポートに連絡して交換を依頼できます。

CryptoBilisをめぐる事件

Trezorは10月9日、競合であるハードウェアウォレットメーカーのLedgerが、この東南アジアのリセラーから端末を購入した顧客の損失の調査を開始したことを受け、CryptoBilisとのリセラー契約を解除しました。Trezorはその後、CryptoBilisから購入した自社端末4台（Safe 7が1台、Safe 5が2台、Safe 3が1台）を検査し、改ざんの痕跡は見つかりませんでした。

Ledgerのセキュリティチーム「Donjon」は、CryptoBilis経由で販売されたLedger端末に、初期設定時に画面から24単語のリカバリーフレーズを読み取り、LTE経由で送信するインプラントを発見しました。Trezorのブログ記事は、今回新たに報告されたインプラントは「動作が類似しているようだ」と述べつつ、調査が進行中の間は比較を行わず、背後にいる人物は不明であるとしています。

Ledgerは、確認済みの損失はすべてCryptoBilisから購入された端末に関するものであると述べ、7つのアジア市場のリセラーに自社端末の販売取りやめを要請しました。Chainalysisの調査によると、最大級の被害者の一人は詐欺師で、60 BTC超（約480万ドル相当）を失いました。

今後の展開は物理的証拠にかかっています。端末が到着すれば、Trezorの検査室での検証が顧客の報告に対する最初の直接的な確認となり、両メーカーの調査は依然として進行中です。Trezorの警告は2026年3月にまで遡及しており、これは報告された端末の購入時期より数か月前であるため、影響を受けた購入者の全容はまだ確定していません。

Trezorはこれまでも、パートナーの不手際について顧客に警告を発したことがあります。8月には、配送業者ShipMonkでの情報漏洩により、約14,000人の米国顧客の氏名、電話番号、自宅住所が流出したと発表し、この数字は9月にさらに67,000人増加しました。