コールド暗号資産ウォレットの製造を手掛けるTrezor社は、東南アジア地域の正規代理店であるCryptoBilisを通じて販売されたTrezor Safe 5ウォレットの内部から、不審な悪質ハードウェア部品が発見されたとの報告を受けたことを発表しました。
同社は、この悪質部品の存在を決定づけるためにデバイスをまだ受け取って詳細な検査を行っていないものの、ユーザーの資金を保護するための即座の予防措置として、潜在的なユーザーに対して自身の秘密鍵やデジタル資産を安全性が確認されているウォレットへ移すよう促す公式警告を速やかに発令しました。
侵害およびサプライチェーンの詳細
会社のデータによると、事件の詳細は2026年8月にインドネシアのユーザーから寄せられた通報に端を発しており、このユーザーは前述の代理店からTokopediaプラットフォームを介してSafe 5ウォレットを購入していました。ユーザーがデバイスを開封した際、ウォレットのメイン基板とディスプレイの間に配置された非公式の追加電子基板を発見し、この基板にはセルラー通信モジュールと無線識別機能が含まれていました。
未確認の初期情報によると、この追加部品はウォレットの画面に表示されるデータ（ウォレットのリカバリーフレーズを含む）を読み取り、デバイスの電源が入れられるか使用された時点で、モバイルネットワーク経由で送信する能力を備えているとされています。なお、同じ代理店であるCryptoBilisは、同月の早い時期にもLedger製ウォレットを標的とした同様の事件に関与しており、両方のデバイスにおいて埋め込まれた部品の形状や機能が酷似していたことが確認されています。
即時措置と流通ネットワークの再編
Ledger社の事件を受け、自社製品への被害を示す明確な兆候を受ける前の2026年10月9日時点で、Trezor社はCryptoBilis代理店を通じたデバイスの販売を即座に停止しました。同社はその後、サプライチェーンのセキュリティレベルをさらに高めるため、世界中の代理店および輸入業者ネットワークの再編と管理強化を行う計画を発表しました。
Trezor社は、今回のサプライチェーン攻撃の結果として資金が盗まれたという情報はこれまでのところ一切ないことを強調し、実際のデバイスが到着して検査が行われ次第、調査の進捗状況を公開することを約束しました。これとは対照的に、Ledger社のデバイスではユーザーの金銭的損失に関する報告が相次ぎ、最終的にシンガポール警察による発表で、それらの攻撃による被害額に約350万ドルが追加される事態となりました。
被害を受けたユーザーへの推奨事項
Trezor社は、2026年3月以降にCryptoBilis代理店を通じてデバイスを購入したユーザーに対し、それらのセットアップや使用を絶対にしないよう推奨しました。すでに使用してしまったユーザーに対しては、全く新しいリカバリーフレーズを含む新しく作成されたウォレットへ速やかに資金を移動するよう助言しています。
また、同社は有効な購入証明書を持つ購入者が代替デバイスまたは新しいデバイス用のクーポンを受け取るために連絡できることを発表した一方で、デバイスの重量測定は物理的な改ざんを受けているかどうかを判断するための確実かつ正確な方法ではないと強調しました。