Ledger、東南アジアの販売店CryptoBilis経由端末で資金流出の報告を調査。推定被害8,600万ドル超

ハードウェアウォレット大手の仏Ledger（レジャー）は10月9日、東南アジアの販売代理店CryptoBilis（クリプトビリス）を通じて同社製品を購入した利用者から資金流出の報告が相次いでいるとして、調査を進めていると発表した。オンチェーン分析者は、被害額が8,600万ドル（約130億円）を超える可能性があると推計している。

Ledgerの発表と推奨対応

Ledgerのサポート公式アカウントは10月9日、X（旧Twitter）で「東南アジアの利用者から資金が失われたとの報告を受け、調査している」と表明した。あわせて「CryptoBilisに対し、Ledgerデバイスのすべての販売と出荷を一時停止するよう求めた」と明らかにした。（参考: Crypto Briefing「Ledger investigates significant fund losses tied to CryptoBilis reseller」）

The Blockによると、CryptoBilisはインドネシア、マレーシア、フィリピンにおけるLedgerの公式リセラー（正規販売代理店）として掲載されていた。なお、Ledger自身の投稿では社名が「CryptoBillis」と表記されていたと、Crypto Briefingは伝えている。（参考: The Block「Ledger investigates wallet drains involving CryptoBilis buyers」）

Ledgerは利用者に対し、次の2点を推奨した。

• 直近90日以内に同販売店から購入し、まだ設定していない場合は「セットアップを開始しない」こと
• すでに設定済みの場合は「新しいシード（復元フレーズ）を使った新しいLedger端末へ資産を移す」ことを検討すること

同社は調査の進展に応じて情報を更新するとしている。一方、CoinDeskは、Ledger自身のシステムやウォレット技術が侵害されたことを示す確かな証拠はないと報じた。（参考: CoinDesk「Ledger investigates potential wallet tampering after reports of $86 million in crypto stolen」）

Ledgerは2014年にパリで創業した企業で、これまでに世界で700万台以上の端末を販売したとしている。

オンチェーン分析者による被害額の推計

被害額はLedgerの発表ではなく、外部のオンチェーン分析者による推計である。最初に数字を示したのは研究者のtanuki42氏で、7,200万ドル超の資金が一群の窃取疑いアドレスに移動したと指摘した。同氏は被害者に、セキュリティ対応グループ「SEAL 911」へ連絡するよう呼びかけた。

その後、匿名の調査者Specter氏が、ビットコイン、イーサリアム、トロンの各チェーン上のアドレスへ資金を追跡し、損失は8,600万ドルを超えると推計した。同氏は当初「数百の被害者ウォレットからの流入を確認した」と投稿したが、のちに被害ウォレット数はまだ確定していないと修正した。（参考: Finance Magnates「Ledger Probes Reseller Supply Chain as Analysts Track $86 Million in Suspected Drains」）

The Blockは、これらの数字は独立した検証を経ておらず、2つの推計が同じ取引・アドレスを対象にしているかも不明だと指摘している。Finance Magnatesも、8,600万ドルという数字のすべてがCryptoBilisの顧客に関わる取引であることを示すものではないと注意を促した。（参考: KuCoin News「Ledger reports a $90 million loss in a wallet drain incident linked to CryptoBilis」）

報告から販売停止要請までの経緯

サプライチェーン攻撃説と業界関係者の見方

原因として有力視されているのが、サプライチェーン攻撃（製品が利用者の手に渡る前の流通段階で細工をする手口）である。CoinDeskは一例として、攻撃者があらかじめ把握している復元フレーズを設定した端末を流通させ、利用者が入金した後に資金を抜き取る方法を挙げた。

バイナンス共同創業者のジャオ氏は、現時点の情報からは特定の1業者が関わるサプライチェーン攻撃とみられ、一部の利用者が偽物または改ざんされたLedger端末を購入した可能性があるとの見方を示した。そのうえで「BNBエコシステムの関係者、そして業界全体が資金の追跡と回収に協力すると期待している」と述べ、「セルフカストディには追加の責任が伴う」とも投稿した。（参考: The Block）

元Mt.Gox CEOのカルプレス氏は、今回の報告が自身が以前から調べていた問題と関連している可能性があると述べた。同氏は被害者に連絡を求めるとともに、端末を開けて基板の写真を送るよう呼びかけた。基板の状態から、改ざんの有無を判断できる可能性があるためだ。（参考: The Block）

ただし、Finance Magnatesは、端末が改造品や偽造品だったのか、復元フレーズが事前に漏れていたのか、フィッシングや悪意ある取引承認が関わったのかは分かっておらず、現時点で「ハードウェアウォレットの脆弱性」や「サプライチェーン攻撃」と確定することはできないと報じている。

利用者への影響と今後の論点

今回の件で重いのは、問題の販売店がLedgerの公式リセラーとして掲載されていた点である。ハードウェアウォレットは「公式または正規代理店から購入する」ことが基本的な安全策とされてきた。正規の販売経路で被害が出たのであれば、その前提が揺らぐことになる。

編集部の見方では、今後の焦点は大きく3点と考えられる。第一に、端末そのものが改造・偽造されていたのか、それとも同梱物や初期設定の手順に細工があったのか。第二に、被害額と被害者数の確定。第三に、Ledgerが正規代理店の流通をどう管理・監査し、被害者にどう対応するかである。いずれもLedgerの続報を待つ必要があり、現時点では確認できていない。

2026年は大型の流出事件が続いている。CoinDeskはDefiLlamaのデータを引用し、Bitget（3億5,000万ドル超）、Liquid Network（約3億2,000万ドル）、Drift（2億9,500万ドル）、Kelp（2億9,300万ドル）の被害を挙げている。取引所やDeFiだけでなく、自己管理型ウォレットの流通経路も攻撃対象になり得ることを示す事例といえる。

日本国内の利用者が直接影響を受けたとの報告は、現時点の報道では確認できない。ただ、ハードウェアウォレットを購入する際は、メーカー公式ストアなど流通経路を確認すること、初期設定時に自分でシードを生成すること、同梱の紙に復元フレーズが印字されているなど不自然な点があれば使用しないことが、一般的な注意点として挙げられる。

出典

• CoinDesk「Ledger investigates potential wallet tampering after reports of $86 million in crypto stolen」
• The Block「Ledger investigates wallet drains involving CryptoBilis buyers; estimate tops $86 million in losses」
• Finance Magnates「Ledger Probes Reseller Supply Chain as Analysts Track $86 Million in Suspected Drains」
• Crypto Briefing「Ledger investigates significant fund losses tied to CryptoBilis reseller」
• KuCoin News「Ledger reports a $90 million loss in a wallet drain incident linked to CryptoBilis」