ハードウェアウォレット大手のLedger（レジャー）は日本時間14日、東南アジアの販売店CryptoBilisで売られた端末に不正なハードウェアが埋め込まれていた問題で、インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシアの6カ国と香港の販売店・代理店に、販売の停止と店頭からの撤去を求めた。欧州では家電量販大手のMediaMarktSaturnが販売を止め、競合メーカーも販売店網の見直しに動いている。
レジャー、埋め込みは画面のリカバリーフレーズを読み取りLTEで送信
レジャーは日本時間13日15時39分、これまで明らかにしていなかった埋め込みの仕組みについて、同社のセキュリティ研究部門「Ledger Donjon（ドンジョン）」による分析の内容を公表した。
それによると、埋め込みは端末のケースの内側にあり、画面に表示される内容を読み取る。初期設定の際に画面に24単語のリカバリーフレーズが表示されると、埋め込みのマイコンがその単語を読み取り、あらかじめ設定されたeSIMを使ってLTE（携帯回線）で送信する。
埋め込みは端末とは別の部品で、秘密鍵を守るセキュアエレメントやレジャーのOSを書き換えるものではない。取引や署名の内容も変えないという。
レジャーは、被害を受けた利用者の総数や被害の総額は確認しておらず、ネット上の数字は第三者によるもので十分に検証していないと説明した。同社は、他の端末や他の場所での埋め込みの報告についても確認を進めている。分析企業のBitqueryは、311のウォレットから約9,290万ドルが流出したと推計していた。
CryptoBilisで買った未使用の端末は初期設定せずにサポートへ連絡し、設定済みの場合は新しいリカバリーフレーズを作った別の端末へ速やかに資産を移すよう求めた。
CryptoBilis以外で買った利用者には、端末の内部を確かめる方法を案内している。端末を開けると壊れるおそれがあるため、事前にリカバリーフレーズのバックアップを取るよう注意を促した。
レジャーの販売停止、東南アジア・香港と欧州に拡大
レジャーは日本時間14日7時3分の更新で、確認された事案は東南アジアに限られており、他の場所で買った端末に関連する資金の流出は確認していないと強調した。誰が、流通のどの段階で端末に手を加えたのかを調べている。インフラ、システム、サービス、直販の経路が侵害された兆候はないという。
欧州では、MediaMarktSaturnがレジャーと合意のうえ、13日時点で店舗とオンラインでのレジャー製品の販売を止めた。レジャーによると、ドイツの顧客1人から埋め込みの報告があったためで、資金の損失は報告されていない。
| 日時（日本時間） | レジャーの発表 |
|---|---|
| 10月9日22時32分 | CryptoBilisで買った利用者の資金喪失の報告を調査中と公表 |
| 10月11日2時9分 | 被害者の端末1台に不正なハードウェアの埋め込みを確認 |
| 10月12日2時13分 | 確認できた被害はすべてCryptoBilisの販売分と説明 |
| 10月13日15時39分 | Ledger Donjonが埋め込みの仕組みを公表 |
| 10月13日 | MediaMarktSaturnが店舗とオンラインで販売を停止 |
| 10月14日7時3分 | 東南アジア6カ国と香港の販売店に販売停止と撤去を要請 |
マウントゴックス元CEO、Amazon Japanで買った端末にも埋め込み
暗号資産（仮想通貨）取引所マウントゴックスの元CEO、マーク・カルプレス氏は日本時間11日7時15分のXの投稿で、Amazon Japanで安く売られていたLedger Nano Xを、怪しく見えたものの購入したところ、完璧に見えた端末に埋め込みが入っていたと明かした。
この投稿は、他の利用者からの質問に答えたものである。同氏は9月16日の時点で、Nano Xに仕込まれた新旧の埋め込みの写真をXで公開していた。購入した出品者については、投稿では触れていない。
レジャーは13日の発表で、カルプレス氏の件には触れておらず、他の端末や他の場所での報告を確認中としている。
Trezorは販売店網を縮小、OneKeyは無償交換
OneKeyのイーシーCEOによると、CryptoBilisはレジャーのほか、OneKey、Trezor、Tangem、SafePal、imKeyなどのハードウェアウォレットも販売していた。
| 項目 | Trezor | OneKey |
|---|---|---|
| 自社製品の被害 | 侵害の証拠はないと説明 | 利用者の資金損失の報告はないと説明 |
| CryptoBilisの扱い | 書簡では言及なし | 販売の認定を終了 |
| 販売店網 | 大幅に縮小。通知を受けた販売店は2027年1月1日に認定終了 | 新規の販売店を追加せず、全販売店を再審査 |
| 購入者への対応 | 書簡では言及なし | 2026年3月1日以降のCryptoBilisでの購入者に無償交換（12月31日まで申請） |
Trezorのサンダース氏は日本時間13日22時30分、販売店への書簡を公開し、すべての取引先を確認できる規模まで販売店網を減らすと説明した。通知を受けた販売店には新たな在庫を送らないが、2027年1月1日までは手元の在庫を売れるという。
OneKeyは、事業の主体や実質的な所有者を確認できない販売店の認定を取り消す。無償交換の対象を3月1日からとしたのは、CryptoBilisの元共同創業者が、同社が今年買収され、3月に経営が引き継がれたと公に述べたためだと説明している。
関連：Ledger購入者の資金喪失報告、東南アジアの販売店に出荷停止を要請
関連：Ledger端末に不正なハードウェア、販売店経由の流出は約147億円か
