リセラー販売のLedgerウォレットにサプライチェーン攻撃、9,000万ドル超が流出

Ledger社が製造し、東南アジアの代理店CryptoBilisを通じて販売された暗号資産ハードウェアウォレットが、重大なサプライチェーンセキュリティ侵害に遭遇しました。攻撃者は不正な内部ハードウェアインプラント（チップ）を装着し、初期設定時にユーザーの24語のリカバリーシードフレーズを記録して携帯電話回線経由で送信していました。2026年10月9日、攻撃者は300以上のウォレットに対して迅速かつ組織的な攻撃を実行し、Bitcoin、Ethereum、TRON、ステーブルコインを含む9,300万ドルから1億200万ドル相当のデジタル資産を盗み出しました。

この組織的な盗難事件は、ハードウェアストレージソリューションにおけるサードパーティ小売流通ネットワークの重大な脆弱性を浮き彫りにしています。単一の残高で最大80ビットコイン（480万ドル相当）が含まれるなど、個人の被害額は多大でした。ステーブルコイン発行元のTether社は、不正アドレスに関連する約1,000万ドル相当のUSDTの凍結に成功しました。Ledger社は自社の直接販売チャネルおよび中核システムは安全を保っていると発表しましたが、この事案はプライベートシードフレーズの保護をハードウェアウォレットに依存している投資家が直面する広範なリスクを強調しています。

Ledger社は、直近90日以内にCryptoBilisからデバイスを購入した顧客を対象とした安全性の更新情報を発行しています。感染したデバイスで新しいリカバリーキーを生成しても資金が侵入者に晒されるため、ユーザーは初期設定の前にハードウェアストレージの物理的な完全性と送信元を慎重に確認することが強く推奨されています。市場参加者は、規制上の対応の可能性やサードパーティの暗号資産デバイス販売事業者に対する問責要件の強化についても注視することになります。