Ledgerは、東南アジアの再販業者CryptoBilisから購入された端末に関連する資金消失報告を調査しています。報道された被害額は8,600万ドル超ですが、総額、被害者数、端末改ざんとの因果関係はいずれも独立確認されていません。
現時点の実務的な結論は、対象購入者が端末の利用開始を止め、設定済みなら新しい端末と新しいリカバリーフレーズへの移行を検討することです。原因を断定せず、Ledgerの公式案内に従う必要があります。
Ledgerが調査を開始、確認済みの事実は何か
CoinDeskは2026年10月9日、LedgerがCryptoBilis経由で端末を購入した利用者からの資金消失報告を調査していると報じました。Ledger Supportの公式投稿でも、東南アジアの利用者から報告を受けたこと、調査中の予防措置としてCryptoBilisにLedger端末の販売・出荷停止を求めたことが確認できます。
Ledgerは、CryptoBilisから直近90日以内に購入し、まだ設定していない利用者に対し、設定を始めないよう案内しました。すでに設定した利用者には、新しいシードを生成した別のLedger署名端末へ資産を移すことを検討するよう勧めています。問い合わせ先は公式サポートに限定されています。
一方、8,600万ドル超という数字は、匿名のオンチェーン調査者SpecterがBitcoin、Ethereum、Tron上の疑わしいアドレスを追跡したとして示した推計です。CoinDeskも、この金額は独立に確認されていないと明記しています。Ledger自身は被害総額を認定しておらず、複数の資金消失事例が同じ原因によるものかも確定していません。「Ledgerがハッキングされ8,600万ドルを失った」と断定する段階ではありません。
想定されるサプライチェーン攻撃と未確定事項
今回注目されているのは、メーカーから利用者へ届くまでの流通経路で端末や同梱物が改ざんされるサプライチェーン攻撃です。たとえば、第三者が事前に把握したリカバリーフレーズを購入者に使わせれば、後から同じウォレットを復元して資産へアクセスできる可能性があります。ただし、これは考えられるシナリオの一つであり、今回の原因として確認されたものではありません。
Ledgerの公式ガイドは、PINやSecret Recovery Phraseが同梱・事前設定された端末を使用しないよう明示しています。初回設定では利用者自身が端末上で新しいリカバリーフレーズを生成しなければなりません。また、Ledger WalletアプリのGenuine Checkは端末の真正性確認に役立ちますが、今回の個別事例の安全性を保証するものとして過信すべきではありません。端末が真正でも、フレーズの保管方法やフィッシング署名など別の侵害経路は残ります。
現段階では、端末改ざん、事前生成されたフレーズ、フィッシング、マルウェア、危険な署名など複数の仮説を切り分ける必要があります。被害者数、流出総額、対象ロット、攻撃開始時期、Ledger本体のシステムやファームウェアへの侵害有無は公表・確定していません。
CryptoBilis購入者が直ちに確認すべき手順
未設定の端末は開封状態にかかわらず使用開始を止め、Ledgerの公式サポートへ購入記録と端末情報を提示してください。SNSの返信やダイレクトメッセージで接触する「サポート担当者」には応じず、検索広告ではなく公式ドメインから問い合わせることが重要です。LedgerやEthereumの公式案内が示す通り、正規のサポートがリカバリーフレーズや秘密鍵の提出を求めることはありません。
設定済みの場合は、Ledgerの今回の勧告に沿い、新しい端末で新しいリカバリーフレーズを生成し、そのフレーズから作られた新しいアドレスへ資産を移すことを検討します。疑わしい旧フレーズを新端末へ復元しても、攻撃者が同じフレーズを知っている可能性を排除できないため、安全な移行にはなりません。Bitcoin、Ethereum、Tronの各資産は、それぞれ対応する新アドレスとネットワークを確認し、少額のテスト送金後に残額を移す方法が現実的です。
端末画面に表示された宛先を目視し、PCやスマートフォン画面だけを信用しないことも大切です。送金は原則として取り消せないため、チェーン、トークン、宛先を一つずつ確認します。被害が疑われる場合は、取引ハッシュ、購入証明、端末の外箱、同梱物、設定日時を保存し、端末を初期化する前に公式サポートの指示を受けるべきです。
UniswapやAave利用者に及ぶDeFi特有の注意点
ハードウェアウォレットは秘密鍵をオフラインで保持しますが、Uniswapでのスワップ、Aaveでの供給・借入、Curveでの流動性提供では、利用者が端末上でトランザクションやメッセージへ署名します。端末の保管が安全でも、偽サイトや悪意あるコントラクトへの署名まで自動的に防げるわけではありません。今回の疑惑を、各DEXやレンディングプロトコルのスマートコントラクト侵害と混同しないことが重要です。
Ethereum公式セキュリティガイドは、スマートコントラクトへ無制限の使用許可を与えず、必要額に限定することを推奨しています。旧アドレスを今後使わない場合でも、移行前にはUniswapなどで保有する通常トークンだけでなく、Aaveの供給ポジション、借入、担保状態、CurveのLPトークン、ステーキングやブリッジ先の残高まで棚卸しする必要があります。ウォレット画面に見える残高だけを移しても、プロトコル内のポジションが旧アドレスに残る場合があるためです。
特にAaveで借入がある利用者は、単純に担保トークンだけを送ろうとせず、プロトコル上のポジションを確認してください。手順を誤ると健全性に影響し得ます。旧アドレスから新アドレスへの移行は、プロトコルごとの公式画面と仕様を確認し、必要ならポジション解消後に行うのが安全です。
新しいウォレットへ移す際の実務チェックリスト
第一に、購入経路を確認します。Ledger公式ストアまたは公式サイトに掲載された正規販売経路を利用し、マーケットプレイスの出品者名まで照合します。「正規品」と書かれているだけでは、販売主体や保管経路を確認したことにはなりません。
第二に、新端末の初期設定はクリーンな環境で行います。端末自身が生成した新しいリカバリーフレーズだけを紙などのオフライン媒体へ記録し、写真撮影、クラウド保存、チャットへの貼り付けは避けます。PINやフレーズが箱に入っていた場合、または初回からPIN入力を要求された場合は利用を中止します。
第三に、Ledger WalletのGenuine Checkを実行し、端末上の表示とアプリ上の操作内容を照合します。その後、ネットワークごとに新アドレスを作り、Bitcoin、Ethereum、Tronなどを混同しないようにします。移行時にはガス代や手数料を確保し、少額テスト、着金確認、本送金の順で進めます。
第四に、DeFiポジションを別表で管理します。Uniswapの流動性ポジション、Aaveの担保・債務、CurveのLPや関連する報酬を確認し、旧ウォレットに残す必要がある操作を先に完了します。移行後は、旧端末を再利用せず、公式調査の更新とサポート指示を待ちます。
報道を読む際に避けたい誤解
最も大きな誤解は、推計額を確定被害額として扱うことです。8,600万ドル超はSpecterの主張をCoinDeskが報じたもので、Ledgerの確定値ではありません。また、Bitcoin、Ethereum、Tron上で疑わしい送金が見つかったとしても、すべてがCryptoBilis販売端末に由来し、同じ攻撃者によるものだとは現時点で証明されていません。
次に、ハードウェアウォレット全般やLedgerの暗号技術が破られたと即断するのも不適切です。Ledgerの発表は特定の再販業者から購入した利用者の報告に焦点を当てています。他方で、調査中だから何もしなくてよいという意味でもありません。該当者は公式勧告を優先し、対象外の利用者も購入経路、初期設定、フレーズ管理、署名内容を見直す契機にできます。
SNSでは、被害回復を装う偽サポートや、ウォレット接続を求めるサイトが現れやすくなります。Ledger Support、Ethereum、Uniswap、Aaveなどを名乗る連絡であっても、秘密鍵やフレーズを入力せず、公式サイトを自分で開いて確認してください。
まとめ
LedgerはCryptoBilis経由の端末に関連する資金消失報告を調査し、同社へ販売・出荷停止を要請しました。直近90日以内の購入者には未設定端末を設定しないこと、設定済みなら新しいシードを持つ新端末への資産移行を検討することを案内しています。
ただし、8,600万ドル超の被害額、被害者数、端末改ざん、各事例の関連性は未確認です。DEX・DeFi利用者は、通常トークンだけでなく、Uniswap、Aave、Curveなどに残るポジションも確認し、公式情報に基づいて段階的に移行してください。リカバリーフレーズを誰にも渡さず、原因を断定しないことが、現時点で最も重要な対応です。
