Ledger Trezor 偽の手紙：シードフレーズ盗難

LedgerとTrezorのハードウェアウォレットユーザーらが、過去6年間のデータ漏洩被害者向けに新たな攻撃波で、シードリカバリーフレーズを盗むための物理的な手紙を受け取り始めた。サイバーセキュリティ専門家のDmitry Smilyanetsは、2月13日にTrezorから来たという偽の手紙を受け取ったと報告した。手紙は2月15日までに“Authentication Check”を実行することを義務付け、ホログラムとQRコードを含んでいる。

Ledger Trezor偽の手紙攻撃の詳細

QRコードは、LedgerとTrezorのセットアップページに似せた偽のウェブサイトに誘導し、ユーザーのリカバリー表現の入力を促す。表現が入力されると、詐欺師はバックエンドAPI経由で情報を取得し、ウォレットを乗っ取り、資金を盗む。手紙はTrezor CEOのMatěj Žákが署名したように偽装されている。このソーシャルエンジニアリングの手法は、緊急性を生み出してユーザーを騙す。

攻撃の技術的メカニズムとシードフレーズのリスク

シードリカバリーフレーズは、12-24語のニーモニックコードで、ウォレットのマスター私钥を派生させる。偽サイトで入力されたフレーズはJavaScriptで捕捉され、攻撃者のサーバーへPOSTリクエストで送信される。APIエンドポイントはフレーズを検証し、ウォレットをクローンする。BIP-39規格ではフレーズはブルートフォースに耐性があるが、フィッシングで直接奪われると全資金がリスクにさらされる。専門家はHTTPSの偽装によるMITM攻撃を推奨しない。

Ledger Trezorデータ漏洩表

これらの漏洩は、標的型フィッシングのための住所データベースを提供した。Ledgerユーザーは昨年10月に同様の「Transaction Check」手紙を受け取っていた。

類似の詐欺事例と履歴

• 2021: 偽のNanoウォレット
• 2025年4月: QRコード付き手紙
• 2025年5月: 偽のLedger Liveアプリ

Ledgerは10月にウェブサイトでユーザーを郵便詐欺に対して警告した。企業は決してリカバリー表現をメール、ウェブサイト、または郵便で共有するよう要求しない。

SEEDなどの暗号資産を守るためのヒント

SEED保有者がLedger/Trezorを使用している場合、特別な注意を払う。SEED詳細分析をチェックし、先物についてはSEED先物取引をフォロー。ヒント: 手紙を検証し、公式サイトをブックマーク、ハードウェアウォレットにパスフレーズを追加、マルチシグを使用。2026年2月17日現在、攻撃は継続中；疑わしいQRをスキャンしない。