Trezor、CryptoBilis購入者に資金移動呼びかけ、Safe 5に不正基板の疑い

Trezor Safe 5に仕込まれた不正部品の疑い

Trezorは、かつて東南アジア地域の代理店だったCryptoBilisを通じてハードウェアウォレットを購入した顧客に対し、資金の移行を呼びかけた。きっかけは、Trezor Safe 5本体に不正な部品が組み込まれていた疑いを示す通報だ。会社側の10月30日の公式発表によると、通報は10月28日に届き、対象となったのは8月にインドネシアのTokopedia経由でCryptoBilisから購入された一台だった。購入者が分解したところ、本体基板とディスプレイの間に見慣れない追加基板があり、そこには携帯電話通信モジュールとアンテナが実装されていたという。この構造では、画面に表示されるすべての情報を不正基板が読み取り、端末が電源に接続されるたびに携帯回線経由で外部へ送信できてしまう。リカバリーフレーズは初期設定時に画面へ表示されるため、これを盗み見た第三者は別の端末でウォレットを復元し、本体なしで資金を引き出せる。Trezorは写真の確認と購入者とのビデオ面談を行ったが、実機の検査はまだ行っていない。セキュリティチームが現在、実験室での解析を手配中で、通報内容は即座に対応するに足る信頼性があると判断したという。会社側は2026年3月以降にCryptoBilisからTrezor製品を購入したすべての顧客に対し、まったく新しいリカバリーフレーズを設定した暗号資産ウォレットを新規に作成し、そこへ資金を移すよう勧告した。漏洩したフレーズを別の端末に入力し直してもリスクは消えず、リカバリーフレーズは実質的にウォレットの秘密鍵そのものを人が読める形で複製したものだからだ。まだ初期設定をしていない購入者には、設定を中断し、既存のフレーズを絶対に入力しないよう指示された。被害の報告は現時点でゼロ。Trezorは交換端末または新品相当のバウチャーを提供するとともに、購入した端末を手元に残すよう求め、偽メールや電話による詐欺への警戒も呼びかけた。同社はさらに、本体を開けたり重さを測ったりするだけでは改ざんの検出には信頼性がないと注意を促している。この対応には、セキュリティ業界団体Security Allianceの緊急支援サービスSEAL 911が協力している。

Arkham、9,535万ドルの盗難資金を追跡

CryptoBilisはかつて、Trezorと最大の競合であるLedgerの両社にとって東南アジアで正式な代理店だった。そしてこの同一の販売店が、改ざんが確定した別の事件の中心にも座る。10月9日、Ledgerは同代理店経由で自社ウォレットを購入した顧客の損失調査を開始し、その後、被害端末内部の不正部品が初期設定時に表示されたリカバリーフレーズを取得し、LTE回線経由で外部へ送出していたことを確認した。この部品は端末のセキュリティチップとは独立して動作するため、通常のトランザクション署名には影響がなかった。Trezorは同じ日にCryptoBilisを代理店網から除外し、端末の点検提出を顧客に求めた。10月19日までに受け取ったのはSafe 5が2台、Safe 7とSafe 3が各1台の計4台で、いずれにも外見上の改ざん痕は見られなかった。今回の新たな通報は、この検査対象外だった別のSafe 5に関するものだ。不正部品を誰が取り付けたのか、両ブランドが同一の攻撃者の仕業なのかは、まだ特定されていない。Ledger事件の資金面の足取りは大きい。10月29日、Arkham Intelligenceが10月7日から9日にかけての1,486のアドレスを対象に盗難の疑いがある9,535万ドルの資金の流れを追跡した。盗まれた資金は複数のブロックチェーンネットワーク上を移動し続けており、約1,000万ドル相当のUSDTはすでに凍結されている。シンガポール警察は別に、国内の小売店から購入された改ざん済みLedger端末が絡む2件で計350万シンガポールドルの損失を報告している。Trezorは正規代理店リストの見直しを進め、Ledgerなど関係各所と調査で協力している。同社によれば、他の代理店に結びつく報告はまだなく、実験室の解析結果が出次第、詳細を公表するという。

COINOTAGの分析:2つの事件は同じ弱点を突いている。端末が安全策として最も重点を置く署名用チップではなく、侵害された端末の画面上でリカバリーフレーズが生成される瞬間だ。サプライチェーンに埋め込まれたバックドアは端末内のあらゆる防御を迂回する。秘密が画面から出ていくからで、だからこそ信頼できない販売者から入手したコールドウォレットであっても、所有者を守り切れない場合がある。Trezorが実験室での確認前に顧客へ警告する選択をしたのは、改ざんが確定したLedger事件と代理店経歴を共有しているからだ。2026年3月という線引きは予防措置であり、販売された全端末が影響を受ける証拠ではない。今後の焦点は3つだ。通報されたSafe 5の実験室検査、捜査がLedger事件と攻撃者を結びつけるかどうか、そして地域の他の代理店に向けた追加の告知が出るか否か。保管手段の選択を検討する読者は、資金を移す前にハードウェアウォレットの仕組みを確認しておくとよい。