「隠しスパイチップが密閉されたLedgerウォレットで発見される」と元Mt. Gox CEO

かつて破綻した取引所Mt. Goxを率いていたマーク・カーペレス氏によると、彼が受け取った密閉されたLedgerハードウェアウォレットには、パスワードとその内部の暗号通貨の両方を盗み取るために設計された、小さな隠し回路基板が含まれていた。包装は完璧に見えた。

カーペレス氏は、スパイウェアが画面の後ろ、通常はパッドが配置される場所に隠されていたと報告した。そのデバイスにはアンテナと小さなSIMカードが搭載されており、ウォレットの24語のリカバリーフレーズを中継することができた。

そのリカバリーフレーズがあれば、攻撃者は再びハードウェアに物理的にアクセスする必要なく、遠隔からウォレットを空にすることができる。

私のスパイ埋め込みLedgerはマレーシアから届き、シュリンクラップは完璧でした。開けても、最初はその埋め込みに気づきません。それは画面のパッドがあるべき場所に巧妙に隠されていました。
あなたのLedgerを確認するには、Ledgerのガイダンスに従ってください: https://t.co/FlOjWvqkZw pic.twitter.com/D8mixF1o9L

— Mark Karpelès (@MagicalTux) 2026年10月9日

Ledgerのセキュリティチェックではスパイチップを見逃す可能性がある

Ledgerの正規品チェック（Genuine Check）は正規のセキュリティチップの存在を確認できるが、同社はそのチップ周辺の物理的な改ざんをすべて捕捉できるわけではないと認めている。これは自社の文書で指摘されている点である。

その結果、改ざんされたウォレットが、隠されたコンポーネントが画面を監視しているにもかかわらず、チェックを通過する可能性がある。

この発見は、LedgerがマレーシアのリセラーCryptoBilisに関連するウォレットが空にされたという主張を調査している最中に表面化した。同社はCryptoBilisに販売と出荷を停止するよう指示した。

オンチーンアナリストによる初期の推定では、損失は8600万ドルを超えるとされた。

その後のBitqueryによる分析では、311のウォレットで9290万ドルの損失が計算された。Ledgerはこれらの数字を確認していない。ある個人は80ビットコインを失ったと言われている。

カーペレス氏は自身のユニットは別のベンダーから入手したと述べた。Ledgerは、CryptoBilisのインシデントの背後に改ざんされたハードウェアがあったとは断定していない。

では、誰が責任を取るのか？

責任は時に購入者に向けられる。

しかし、LedgerはAmazon、Shopee、Lazadaなどの公式ストアフロントなど、正規販売店のみを使用するよう推奨している。

Ledgerの責任じゃなくてよかったが、リセラーから購入するのはクレイジーだ

— Wendy O (@CryptoWendyO) 2026年10月9日

ハードウェアウォレットの目的は、資金を他人に信頼する必要をなくすことにある。しかし、仲介業者からの購入は、その資金を守るデバイスを他人に信頼することを強いられる。

貯金を小さなデバイスに託す人にとって、この警告は無視しがたい。