Ledgerは、マレーシアの販売代理店CryptoBilisを通じて販売されたウォレット端末のうち1台に、許可されていないハードウェアの埋め込みが含まれていたことを確認した。これは、東南アジアで事業を展開する同販売代理店を通じて購入した端末から、ユーザーが暗号資産を失ったとの報告を受けた後のことだった。
Ledgerは2026年10月9日に調査を開始し、CryptoBilisに対して同社製品の販売と発送を停止するよう要請した。翌日、同社は少なくとも1台の端末でハードウェアの改変が確認されたことを認め、その後の更新で、同社が確認した予期しない引き出しに関するすべての報告がCryptoBilisを通じて販売された端末に関連していたと述べ、事例の規模を「限定的」と表現した。同社は現在も、端末がいつ、どこで改変されたのかを特定していない。
埋め込みはどのように機能したのか？
研究者の報告によると、被害を受けた端末はLedger Xモデルとされ、筐体内部に悪意のある回路が隠されていた。Mark KarpelèsとTibane Labsによる分析によれば、この埋め込みは画面出力とボタン入力を取得してリカバリーフレーズを特定し、eSIMを使用したLTE接続を通じて攻撃者に送信するよう設計されていた。
Tibane Labsの研究者は、埋め込みを2種類特定した。一方のサンプルでは、回路のための空間を確保する目的で純正バッテリーがより小型のものに交換され、ST STM32G431KBU6マイクロコントローラー、LTEモジュール、約2×2ミリメートルのeSIMが搭載されていた。2つ目のバージョンはOLED画面の下の空間を利用し、純正バッテリーで動作していた。両方のサンプルでは、改変の物理的な痕跡として、端末上部に沿ってアンテナ線が確認された。一方のサンプルでは、正体を隠すため、一部の部品番号が削られていた。
このニュースが重要な理由
この事案は、内部のセキュリティ部品の完全性だけに依存することの限界を明らかにしている。埋め込みは必ずしもSecure Elementを直接突破する必要はない。ユーザーに表示される内容や、ボタンを通じて入力される内容を監視し、独立した通信経路からデータを送信できるためだ。Ledgerは、Genuine Checkの仕組みによって端末の真正性を確認できるが、純正のSecure Elementが正常なままであれば、ハードウェアの追加を検出できないと述べている。
実際に、CryptoBilisから端末を購入したものの、まだセットアップを開始していないユーザーに対し、Ledgerは端末を起動しないよう推奨した。セットアップを完了したユーザーは、新しいリカバリーフレーズを使用して、新たな署名端末へ資産を移すことを検討すべきだとしている。この推奨は、疑わしい端末だけでなく、リカバリーフレーズが侵害された可能性も前提としている。
まだ確定していないこと
Ledgerは被害を受けた端末のモデルを公式には明らかにしておらず、改変を実施した主体や、サプライチェーンのどの地点で改変が行われたのかも特定していない。研究者が分析したサンプルは、中国と関連する販売業者から購入され、マレーシアから発送された端末を示しているが、それだけで特定の販売業者の責任が証明されるわけではない。利用可能な情報によれば、他の販売代理店が関与した兆候はない。
Ledgerは認定販売チャネルから購入するよう推奨し、販売代理店に対して返品された製品を再び在庫に入れないよう求めている。この事案は、ソフトウェアの検証機構と純正端末が正常に見える場合でも、サプライチェーンの完全性がハードウェアウォレットのセキュリティにおいて依然として重要な要素であることを示している。