SecurityHeroblog
セキュリティの基本2閲覧

半額のコイン財布、リカバリーワードの下にカーボン紙が敷かれていた

定価の半額近くで売られたLedgerのハードウェアウォレットの中から、メーカーが製造していないチップが見つかったと報じられました。研究者らの分析によると、このチップは初期設定時に表示されるリカバリーワード24個を外部へ送信していました。機器をどこで買ったかがなぜそのままセキュリティになるのか、今何をすればいいのかを整理しました。

手書きの宅配伝票を思い浮かべてください。一番上の紙に住所をぎゅっと押し付けて書きます。すると下の紙にも同じ文字が写し出されます。間にカーボン紙が敷かれているからです。カーボン紙とは、上から押した跡を下の紙にそのまま移す薄い複写紙です。

伝票なら便利な話です。ところが、パスワードを書き留めている自分のノートの下に、誰かがこっそりカーボン紙を敷いておいたとしたら話は変わります。私はいつものように書きます。ところが同じ文字が下の紙にもう一組できます。その下の紙は私の手には残らず、別の人の手に渡ります。

今週のコイン財布のニュースは、まさにこういう話です。

まず、どういう場面なのか

用語を二つ押さえておきます。

ハードウェアウォレットとは、コインを引き出すときに必要な鍵を、インターネットから切り離した小さな機器に別途入れておくものです。今回名前が挙がった機器は、Ledger（レジャー）という会社の製品です。

リカバリーワードとは、この機器を初めて起動したときに画面に一つずつ表示される英単語24個です。機器を失くしても、この単語さえあれば財布を復元できます。逆に見れば、この単語さえあれば機器がなくても財布をまるごと移せるという意味です。だから皆、紙に書いて引き出しの奥にしまっておきます。

事実 今回の事件で被害者が遭遇した場面はこうです。定価の半額近くの値段でハードウェアウォレットを買いました。初めて起動して画面に表示される単語24個を紙に書き取りました。ボタンを押して確認もしました。数日後にウォレットアプリを開いてみると、残高が0でした。

事実 Ledgerは10月10日、被害を受けたユーザーの機器最低1台から、許可されていないチップを見つけたと明らかにしたと報じられました。Ledgerが製造していない部品が機器の中に入っていたという意味です。10月11日には、確認された被害事例がすべてCryptoBilisという東南アジアの販売業者が売った機器だったと明らかにしたと伝えられました。

事実 ここで一つ押さえておくべきことがあります。CryptoBilisは、Ledgerがインドネシア・マレーシア・フィリピンの公式リセラーとして掲載していた業者だったと報じられました。リセラーとは、メーカーの製品を受け取って代わりに売る店です。

推定 ですから「怪しい非公式の店で買ったせいでやられた」とまとめると間違いです。リストに載っている店が売った機器でも事が起きました。この点が、今回の事件を軽く受け流しにくい理由です。

カーボン紙はどう敷かれたのか

事実 研究者らの分析を引用した報道によると、付け加えられたチップは機器の画面出力とボタン入力を読み取ってリカバリーワードを知り得ました。そのうえでeSIMとLTE通信でその単語を外部へ送信しました。

聞き慣れない言葉を二つ解説します。eSIMとは、携帯電話に挿すSIMをチップの中にそのまま組み込んだものです。LTEとは、携帯電話が使う移動通信網です。この二つが組み合わされると、Wi-Fiもコンピュータ接続もなしに、チップ単独で外部と連絡を取れます。

推定 カーボン紙にたとえるとこうです。普通のカーボン紙は、下の紙を誰かが直接取りに来なければなりません。今回のカーボン紙は、下の紙が自分で郵便ポストまで歩いていったようなものです。私がノートを閉じて引き出しに入れても、もう手遅れです。

事実 研究者らは、チップが入れられた方式を二通り確認したと報じられました。

  • 元のバッテリーをより小さいものに交換し、空いた場所にチップを入れた形
  • 元のバッテリーはそのまま残し、画面下の緩衝材の場所にチップを入れた形

緩衝材とは、部品同士がぶつからないよう支えるふかふかした材料です。外から見れば、どちらも元の機器と変わるところがありません。

事実 さらに厄介な点があります。Ledgerには、機器が本物かどうかを確認する正規品確認機能があります。ところがLedgerのサポート文書によると、元のセキュリティチップがそのまま残っていれば、この機能は付け加えられたチップを検出できないと報じられました。セキュリティチップとは、機器の中で鍵を守る中核部品です。

推定 ノートでいえば、正規品確認は表紙の商標が本物かどうかを見る作業です。表紙は本物で間違いありません。ただ、ページの間に挟まれたカーボン紙までめくって見るわけではありません。だから使っている間に異常に気づくのは難しいのです。

事実 Ledgerは、自社システムと直販チャネルは侵害されていないと述べたと伝えられました。CryptoBilisは、調査が終わるまでハードウェアウォレットの販売を停止したと報じられました。

数字で見た規模

数字ごとに何と比べるべきかを併記しました。右の欄を先に見てください。

数字 何の数か こう読む
24個 リカバリーワードの数 書き取り一回分の分量です。この短いリストが財布全体の鍵です
定価の半額近く 改造された機器が売られた値段（研究者の主張） 半額割引ではなく警告信号として読むべきです
90日 Ledgerが「この期間にCryptoBilisで買ったなら点検せよ」と定めた購入期間 約三か月です。ただしBitqueryは、6月以降の購入分も影響を受けている可能性があると見ました
8,600万〜9,300万ドル 外部の研究者らが推定した窃取規模 Ledgerが確認した公式被害額ではありません

事実 最後の数字は、ブロックチェーン記録を追跡した外部の研究者らの推定です。ブロックチェーン記録とは、コインが行き交った履歴が皆に公開されている台帳です。Ledgerはこの金額を確認していません。

推定 ですからこの数字は「確定被害額」として読んではいけません。こう読むだけにします。機器1台に自分の資産すべてを入れていた人が多かった。 金庫だと信じていたからそうしたのでしょう。この数字は被害者数でもありません。被害者が何人なのかは、下の「私たちが分からないこと」に別途記しました。

私が今やること

事実 Ledgerの勧告とブリーフをもとに、三つに絞りました。

1. どこで買ったかをまず確認します。 CryptoBilisで買った、あるいはメーカー公式ストア以外の場所で買ったハードウェアウォレットがあるなら、まだ設定しないでください。 Ledgerは、直近90日以内にこのリセラーから買った機器は設定しないよう勧告したと報じられました。

2. すでに使っているなら、新しいノートに移します。 メーカーから直接買った新しい機器を用意します。そこで新しいリカバリーワードを作り、資産を移します。

推定 カーボン紙が敷かれたノートに書いた内容は、すでに複写されたと見るべきです。同じノートで消しゴムをかけても、下の紙はそのままです。だから機器だけ変えてはいけなくて、単語まで新しく作らなければなりません。

3. 「Ledgerカスタマーセンター」だと称して単語を尋ねてくる連絡は切ります。

事実 Ledgerは、電話やDM（個人メッセージ）で先に連絡することはなく、リカバリーワードを尋ねることもないと明らかにしました。今回の事件を餌にしたなりすまし詐欺についても警告したと報じられました。

事実 使っている間に気づける手がかりは多くありません。ブリーフが挙げたのはこの程度です。

  • 定価より極端に安く買ったか
  • 公式ストアではなくオープンマーケット・オークション・中古で買ったか
  • 自分が設定していないのに、すでに使った痕跡があるか

研究者らは、機器を開けるとアンテナ線が見えると言います。しかし一般のユーザーが機器を分解して見るような話ではありません。上の三つを確認することで十分です。

事実 該当範囲も押さえておきます。確認された被害者はCryptoBilisの購入者です。研究者の標本の中には、日本のAmazon（中国の販売者、マレーシアからの発送）とヤフオク!ジャパンで買った機器もあったと報じられました。

推定 ですから、海外通販やオープンマーケットで定価より安くハードウェアウォレットを買った国内の暗号資産投資家も、上の確認リストを一度回してみる価値があります。ただし、国内流通分が汚染されたという報道はありません。

カーボン紙は、使っている人の目には見えません。だからノートはどこから受け取ってきたかが先なのです。ハードウェアウォレットも同じです。

私たちが分からないこと

以下はまだ確認されていません。この記事は、この部分を知っているふりをしません。

  • いつ、どこで、誰が機器を入れ替えたのか。 Ledgerもまだ分からないと述べました。
  • 被害を受けたウォレットと被害者の数。 CoinDeskは研究者の推定で300個以上と伝えました。The Blockは正確な数はまだ分からないとしました。
  • 公式被害額。 8,600万〜9,300万ドルは外部の推定で、Ledgerは確認していません。
  • CryptoBilisが改造に関与したのか。 Ledgerはこのリセラーを改造の実行者として名指ししていません。チャンポン・ジャオが「攻撃者がリセラーを買収した」と主張しましたが、根拠は出ていません。
  • 欧州のMediaMarkt販売分も汚染されたというX（旧Twitter）上の主張。 確認されておらず、Ledgerはこれに言及していません。
  • CryptoBilis以外の販売網にも改造された機器があるのか。 これまでのところ兆候はないと報じられました。
  • 国内流通分や国内の被害者がいるのか。 関連する報道がありません。
  • 攻撃主体。 明らかになっていません。私たちは国籍や所属を推定しません。
  • チップ構造の出どころ。 eSIM・LTE方式と二通りの設置形態は、BleepingComputerがTibane LabsとMark Karpelèsを引用した二次情報です。

出典

一次出典

報道

ブリーフ基準日 2026-10-13。この記事は私たちのハニーポット観測ではなく、報道を私たちの言葉で再整理したものです。Ledger公式Xの投稿とTibane Labsの報告書原文は直接開いて確認できていません。そのため、四つの媒体が引用した内容を相互に照合して記しました。攻撃主体、改造の時点と経路、公式被害額、被害者数は確認されていません。この事件にはマスキングすべきIPや引用すべき認証情報がないため、扱いませんでした。悪性アドレスや設置方法も記していません。