Ledgerへのインプラントがサプライチェーン攻撃でリカバリーフレーズを流出

Ledgerは、東南アジアの再販業者CryptoBilisが販売した正規ハードウェアウォレットの一部に、未承認のハードウェアインプラントが搭載されていたことを確認し、再販業者向けの規則を強化しました。セットアップ中、このインプラントはデバイス画面に表示された利用者の24語のリカバリーフレーズを取得し、携帯電話ネットワーク経由で送信していました。LedgerのSecure Element、オペレーティングシステム、取引署名プロセスは侵害されていなかったため、該当デバイスは真正性検査に合格する可能性がありました。 Ledgerによると、確認済みの損失はすべてCryptoBilisのデバイスに関係しており、同社の直販チャネルでは改ざんの証拠は見つかっていません。オンチェーン研究者は、300を超えるウォレットから8,600万～9,300万ドルが失われたと推定していますが、Ledgerはこの数字を検証しておらず、顧客の総損失額も確認していません。Tetherは約1,000万USDTを凍結したと報じられています。ドイツの顧客からインプラントの報告を受けた後、小売業者MediaMarkt SaturnはLedger製品の販売を一時停止しました。Ledgerによると、ドイツの在庫と倉庫サンプルを検査した結果、ほかに改ざんは見つかりませんでした。 2026年10月15日、Ledgerは認定小売業者に対し、新品の店頭展示を控え、返品されたウォレットの再販売をやめ、インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港での販売を一時停止するよう指示しました。CryptoBilisには10月9日に販売と出荷の停止が命じられていました。CryptoBilisのデバイスを初期化して使用した人は、リカバリーフレーズが漏えいしたものとみなし、新しいフレーズを設定した新しいウォレットに資産を移してください。まだ初期化していない人は使用せず、Ledgerサポートに連絡してください。今回のインプラントは、ハードウェアウォレットのサプライチェーンに潜むリスクを浮き彫りにしています。異なるメーカーのデバイスを使ったマルチシグは単一デバイスへの依存を減らせますが、セキュリティリスクをなくすことはできません。