Ledger SDKが密かに取引データを自社サーバーに送信

火曜日、プライバシーに焦点を当てたグループが、ウォレットアプリがLedgerハードウェアに接続するために使用するデフォルトのSDKが、暗号通貨取引の署名情報をLedgerのサーバーに送信していることを発見した。

この発見がソーシャルメディアで広まるにつれ、プライバシーに関心のある人々は、Ledgerの暗号通貨ウォレットアプリが密かに取引詳細を同社に転送していたことを知り、驚愕した。

これは、2026年5月以前に遡るLedgerのcontext-moduleバージョン1.16以来の標準動作である。

Ledgerウォレットがデフォルトでプライベートに署名とブロードキャストを処理し、取引を直接ブロックチェーンネットワークに送信すると信じていたユーザーにとって、この暴露は衝撃だった。

多くのLedgerウォレットが同時に、世界最大のハードウェアウォレットメーカーに個人データを開示していたことが、関連レポートで指摘されている。

5月下旬以来、大量のメタデータがLedgerデバイスからLedgerサーバーに流れている。ウォレットアプリとそのユーザーは手動でこの情報の共有をオプトアウトしなければならないが、大多数はそれを実行できていない。

Ambireの開発者であるKaloyan Kosev（別名「superKalo」）は昨日、この問題を指摘した：Ledgerサーバーは顧客のLedgerモデル、ソフトウェアバージョン、ユーザーが支払いまたは検索したブロックチェーンアドレスを受信していた。

もしあなたの選択するウォレットが@ambireではなく、Ledgerの最新署名キットを実行している場合、あなたが行うすべての署名がLedgerに報告される可能性が高いです。

問題をデバッグするためにLedgerパッケージをいじっているときに、私は早い段階で気づきました！影響を受けたバージョンがАmbireの本番環境に達したことは一度もなく、私たちは… pic.twitter.com/wiyounyPQ5

— superKalo.eth (@0xSuperKalo) November 10, 2026

Ledger SDKはデフォルトでプライベートではない

この標準動作に関する適切なコミュニケーションの欠如に加えて、問題にはソフトウェアキットのビルダーがデフォルトに設定するエンドポイントnon-blind-signing.api.ledger.comも含まれていた。

名前が示唆するものとは異なり、non-blind-signingのEthereumベースの署名者は、ユーザーがブラインド署名を選択するかどうかに関係なく、すべての取引および型付きデータ署名リクエストに対してレポートを送信する。

Kosevは、「プライバシーがデフォルトであるべきだと主張したい」、特にLedgerのような企業にとっては、と述べた。

元のデータレポーターは、3月26日にLedgerの開発者によってコミットされ、4月にLedgerのcontext-moduleバージョン1.16.0のライブパッケージに追加され、その後4月から5月にかけてLedgerユーザーに広まった。

そのリリースは当初、データ共有をLedgerのステージングサーバーに向けていたが、バージョン2.1.0で本番サーバーに移行した。

Ledger、プライバシー擁護者からの批判に応答

同社の内部セキュリティ部門であるLedger Donjonは火曜日に、「これはクリア署名の仕組みの一部です」と回答した。

Donjonは、いわゆる「クリア署名記述子」が、生のトランザクションを読み取り可能なテキストに変換するものであるが、デバイスには大きすぎるため、SDKはパフォーマンス向上のためにLedgerのサーバーからそれらを取得すると説明した。

Donjonは、「そのためには、適切な記述子を見つけるために必要な取引詳細を送信する必要があります」と付け加えた。

Ledgerのセキュリティチームは、Ledgerはデータを一切保持しないと保証しており、また、ウォレットはこの標準的なデータ共有慣行を避けたい場合、独自のモジュールを実装できるとしている。

2023年に同社を去ったNicolas Baccaは、Bitcoin愛好家のMr Hodlに対し、それは「見落とされた」デフォルトだったかもしれないと語った。

Mr Hodlは、「誰もオプトインしていない。なぜオプトアウトなのか？」と尋ねた。Baccaは理由はわからないと認めた。

Ledger自身のウォレットアプリも他のデータをLedger経由でルーティングしている。例えば、そのBitcoinモジュールは、Ledgerエクスプローラーからアカウント履歴や手数料レートを読み取り、取引をそこにブロードキャストする。

アプリはそのエクスプローラーをアドレスごとにクエリし、各署名済みトランザクションをその送信エンドポイントに投稿する。

2023年、Protosは、Ledger Liveがクリック数、アカウント数、暗号資産名、デバイスタイプ、ファームウェアを分析会社Segmentに送信していたと報じた。Ledgerは現在、パーソナライゼーショントラッカーにはオプトイン同意が必要だと述べている。

別件で、2020年のLedgerでのデータ漏洩により、約272,000人の顧客の名前、住所、電話番号が暴露された。

先月、マレーシアの一見正規だが信頼性の低いLedger販売業者が販売したデバイスに仕込まれたスパイウェアにより、被害者から8600万ドル以上が吸い取られた。