暗号資産の「財布」Ledgerに、合言葉を盗む部品を仕込んだ改造品 日本のAmazonやヤフオクでも見つかる

暗号資産(仮想通貨)を守るための機器「Ledger(レジャー)」に、持ち主の「合言葉」を盗み取る部品を仕込んだ改造品が出回っている。フランスのLedgerは2026年10月、東南アジアの販売店を通じて売られた端末から、不正な部品を確認したと明らかにした。日本の通販やオークションで買われた端末からも、改造品が見つかっている。

何が起きたのか

Ledgerは10月9日、東南アジアの販売店「CryptoBilis」から製品を買った利用者の資産が失われたという報告を調べていると、Xで公表した。念のため、この販売店にLedgerの機器の販売と発送を止めるよう求めた。

翌10日には、被害にあった利用者の端末の1つに、許可されていない部品が埋め込まれていたと確認した。13日には、同社の安全性の研究チームが、この販売店で売られた端末を調べていると知らせている。

被害の額について、Ledgerは数字を出していない。暗号資産の動きを分析するBitqueryは、10月12日の時点で、324のウォレット(暗号資産の財布)から、約1億200万ドルが抜き取られたと集計している。

どうやって盗むのか

改造品を解析したセキュリティ研究チームのTibane Labsによると、仕組みはこうだ。

本物のLedger Nano Xの中に、小さなコンピューターがもう1つ、はんだ付けされている。この部品は、画面に送られる信号を横から読み取る。初めて設定するとき、画面には復元用の24個の単語が表示される。部品はその文字を読み取って記録し、携帯電話の回線を使って、攻撃者に送る。

やっかいなのは、見分けがつかないことだ。外見も箱も動きも、ふつうの製品と変わらない。Ledgerには、端末が本物かを確かめる機能があるが、中の大事なチップは本物のままなので、この確認も通ってしまうという。

日本で買われた端末からも

Tibane Labsは2026年9月、改造された端末を2台手に入れた。どちらも日本で買われたものだ。

• 1台目: Yahoo!オークションで買われた。部品を収めるため、電池が小さなものに取り替えられていた
• 2台目: 日本のAmazonで、中国を拠点とする出品者から買われ、マレーシアから発送された。電池は元のままで、部品は基板と同じ黒に塗られ、見つけにくくなっていた

2台目について、Tibane Labsは、たくさんの端末に手早く取り付けられるよう作られているとみている。GIGAZINEによると、日本で買われた改造品と、東南アジアの販売店との間に、直接のつながりがあるかどうかは確認できていない。

Numeramaは、欧州の家電量販店で買った端末にも同じ改造があったという利用者の投稿が広がっていると伝えている。Ledgerは、これを確認していない。

かんたんに言うと

Ledgerのような機器は、暗号資産を動かすための「鍵」を、ネットから切り離してしまっておく金庫のようなものだ。24個の単語は、機器をなくしたときに鍵を作り直すための合言葉にあたる。これを知られると、離れた場所からでも、中身をすべて持っていかれてしまう。

今回の改造品は、金庫そのものを壊すのではなく、合言葉が画面に出る一瞬をのぞき見る。

日本ではどうなるのか

Ledgerは、問題の販売店で買った端末について、次のように呼びかけている。

• まだ設定していない端末は、設定しない
• すでに設定した端末は、新しい端末で新しい合言葉を作り、資産をすぐに移す

Tibane Labsによると、Ledgerは、同社から直接買った端末での被害の報告は無いとしている。Ledgerの技術の責任者は、Ledgerが利用者に電話をかけることは無い、ともXに書いている。

まとめ

守るための機器そのものが、買う前に細工されていた。外から見ても、公式の確認機能でも分からないという点が重い。暗号資産を機器で管理する人は、どこから買った端末なのかを、改めて確かめたい。