ハードウェアウォレットメーカーのTrezorは、2026年3月以降に元正規販売代理店CryptoBilisを通じてデバイスを購入した顧客に対し、Trezor Safe 5内にハードウェアインプラントの疑いがあるとの報告を受け、暗号資産を新しいウォレットへ移すよう呼びかけている。公式ブログで10月30日発表されたこの通知は、同社が実機を物理的に検証する前に発行されたもので、Trezorはこの事案に関連する資金窃盗や暗号資産損失の報告は受けていないとしている。この警戒通知は、Safe 5に限らず、CryptoBilis経由で販売されたすべてのTrezorモデルを対象としている。

インドネシアの購入者からの報告

インドネシアの顧客は10月28日、インドネシアのマーケットプレイスTokopediaを通じて8月に購入した、同社の現行ハードウェアウォレットラインナップであるSafe 5についてTrezorに通報した。注文時点でCryptoBilisはまだ正規販売店であった。

Trezorはデバイスの写真を確認し顧客への聞き取りを行ったが、本体の検証は行っていない。「まだデバイスをラボで検査していない」と最高商務責任者のDanny Sanders氏は述べ、同社はこの報告を信頼できるものとみなしていると付け加えた。Trezorは販売代理店の正確な販売数は明らかにしていない。

疑わしい回路がリカバリーフレーズを取得する可能性

報告によると、ウォレットのメイン回路と画面の間に追加の基板が存在するという。セルラーモジュールとアンテナにより、デバイスに電力が供給される際に、リカバリーワードを含む画面表示内容を送信できる可能性があるとされる。

リカバリーフレーズがあれば、元のハードウェアなしで暗号資産ウォレットを復元できる。Trezorは、顧客が後から別のデバイスに切り替えた場合でも、攻撃者がこれらのワードを悪用する可能性があると注意を促している。ハードウェアウォレットの保護はリカバリーフレーズをオフラインに保つことに依存しており、そのため画面内容を送信するとされる部品は、デバイスが提供するはずの保護を損なうことになる。

この懸念は、シンガポールでのLedgerウォレット改ざんの報告に続くもので、警察は損失総額約350万シンガポールドルに上る2件を記録している。Trezorは、これらの事案とインドネシアの購入者から報告されたデバイスとの関連は確認していない。

以前の事案が販売代理店の見直しを促す

Trezorは、Ledgerが同一販売代理店経由で販売されたデバイスの物理的変更を確認したことを受け、10月9日にCryptoBilisを承認販売リストから削除した。報告されたTrezor本体を誰が改ざんしたのかは、調査でも特定されていない。

同社はCryptoBilis経由で入手した他の4つのウォレットを検査し、改ざんは確認されなかった。また別件として、Keystoneは今週、顧客の配送情報漏洩を報告したが、この事案ではウォレットのリカバリーフレーズは露出していなかった。

顧客にはウォレットバックアップの交換を呼びかけ

Trezorは影響を受けた購入者に対し、新しいリカバリーフレーズで新規ウォレットを作成し、資産をそこへ移すよう助言している。古いリカバリーフレーズを別のハードウェアで復元しても、以前の露出は解消されない。

同社はまた、偽のセキュリティメッセージに注意するよう顧客に警告した。最近、Foundation Passportの顧客に個人の購入詳細を含むフィッシングメールが届く事例が発生したが、この別件は誤解を招くメールによるもので、確認済みのハードウェア改ざんではなかった。

デバイスをまだアクティブ化していない顧客は、使用しないままにするべきだとしている。Trezorは対象の購入者に対し、サポートチームを通じて交換ウォレットまたはバウチャーを提供しており、サポートスタッフがリカバリーフレーズを求めることはないとしている。10月30日の通知時点で報告された本体は未検証であり、Trezorのラボでの検証結果がこの事案の最も差し迫った未解決の課題となっている。