改造されたLedger端末を使った攻撃で、偽のオンライン求人を悪用していた詐欺師のウォレットから60BTCが流出しました。 今回の核心は、Ledgerのソフトウェア侵害ではなく、販売後の端末に不正部品が組み込まれた「流通経路への物理攻撃」です。 DEX・DeFi利用者にとっては、正規品確認だけでなく、購入経路、復旧フレーズ、署名権限、資産分散まで含めて自己管理を見直す事例です。
詐欺で集めた資金が改造Ledgerから流出
CoinDeskは2026年10月16日、偽のオンライン求人を使って資金を集めていた人物が、改造されたLedgerハードウェアウォレットを通じてビットコインを奪われたと報じました。ブロックチェーン分析企業Chainalysisによると、この人物は「タスク詐欺」で得た資金を3つのLedgerアドレスへ移していました。
タスク詐欺は、商品レビューの投稿や販売実績の水増しといった簡単な作業を提示し、最初は報酬を支払って信用させる手口です。その後、画面上に「残高がマイナスになった」などと表示し、報酬を引き出すには入金が必要だとして被害者自身の資金を振り込ませます。
Chainalysisの投稿では、詐欺の運営者は9月22日に収益を3つのアドレスへ移動し、10月9日に3件とも同じウォレットへ送金され、空になったと説明されています。流出額は60BTC超で、同社は当時の換算額を約480万ドルとしました。一方、CoinDeskの記事は「490万ドル超」と表記しています。換算時点などが示されていないため、本稿では暗号資産量として確認できる60BTCを中心に扱います。犯罪収益であっても秘密鍵を奪われれば、オンチェーン上では同じように移転できてしまうことを示す皮肉な事例です。
CryptoBilis経由の端末に不正部品
事件は、東南アジアの再販業者CryptoBilisが販売した一部のLedger端末をめぐる調査と結び付いています。Ledgerの公式説明によると、攻撃者は正規の端末を入手して開封し、初期設定時に表示される復旧フレーズを取得するための特製部品を内部へ組み込み、再び流通させました。
Ledgerは、自社のチップ、OS、サーバーに脆弱性が見つかった事案ではなく、端末が同社の管理を離れた後の販売経路が狙われたと説明しています。また、同社のセキュリティ研究部門Ledger Donjonが不正部品を分解して動作を調査し、東南アジアと香港の正規再販業者・販売会社に販売停止を要請したとしています。
CoinDeskの先行報道では、内蔵された部品が画面に表示された24語の復旧フレーズを読み取り、携帯電話網を通じて攻撃者へ送信する仕組みだったとされています。つまり、利用者が偽サイトへ単語を入力しなくても、初期設定という通常操作そのものが漏えい経路になり得た点が従来のフィッシングと異なります。
なぜ端末の真正性確認だけでは足りないのか
Ledgerの一般的な真正性確認は、不正なファームウェアや非正規端末を見分けるうえで重要です。しかし今回の公式説明では、攻撃対象は正規端末を改造して再流通させる手法でした。したがって、アプリ上の確認に合格したことだけをもって、筐体内部に後付け部品がないと断定するのは危険です。
購入時にはLedger公式ストアまたは同社が案内する正規販売経路を使い、返品品、開封済み商品、展示品、中古品を避けることが基本になります。Ledgerは今回を受け、返品された端末は外観が新品同様でも再販しないという既存ルールを再通知し、店頭展示をやめ、在庫をバックヤードで保管して購入時に手渡す運用を求めました。
ただし、「正規販売店なら無条件に安全」という意味でもありません。今回、Ledger自身が正規販売網の管理強化を打ち出したことからも、販売店名だけではなく、購入記録、包装状態、端末の来歴、初期設定時の挙動をまとめて確認する必要があります。不審な端末を分解して自力で確認するより、使用を中止し、公式窓口の案内に従う方が安全です。
DEX・DeFi利用者に広がる実務上の影響
今回の直接の流出資産はビットコインですが、教訓はUniswap、Aave、Curveなどを使うEVM系ウォレットにも及びます。復旧フレーズを取得した攻撃者は、元の端末を盗まなくても別のウォレット環境で同じアカウントを復元できます。端末側で署名内容を確認する運用も、アカウント自体を復元されてしまえば防波堤になりません。
DeFiでは、ウォレット内のトークン残高だけでなく、流動性ポジション、レンディング口座、ガバナンス権限、承認済みコントラクトなどが一つの署名者に集中する場合があります。Uniswapで流動性を管理する個人、Aaveで担保を運用する利用者、Curve関連の投票権を扱う参加者は、「端末をオフライン保管しているから安全」ではなく、復旧情報が一度でも外部に出た可能性があるかを基準に判断すべきです。
事業者やDAOでは、Safeのようなスマートアカウントで複数署名者を設定し、単一端末の侵害だけで資産移動が成立しない構成にする方法があります。ただし、複数の署名端末を同じ販売元、同じ場所、同じ復旧手順に依存させれば、障害点は分散しません。署名者、端末メーカー、購入経路、保管場所を意図的に分け、権限変更もオンチェーンで確認する設計が必要です。
利用者が今確認すべき安全対策
第一に、CryptoBilisから購入した未使用端末は初期設定を始めず、Ledgerの公式案内を確認してください。すでに使用した場合について、CoinDeskが伝えたLedgerの案内は、新しい復旧フレーズを新しい端末で生成し、資産を移すというものです。古い復旧フレーズから派生した別アドレスへ移すだけでは、漏えいした同じ秘密情報を使い続けることになります。
第二に、移行は受取先を準備してから少額でテストし、アドレスを端末画面でも照合します。ビットコインだけでなく、Ethereum上の資産を移す場合は、ネイティブ資産、各トークン、NFT、DeFiポジションを別々に確認し、ガス代を残す必要があります。Aaveの借入がある口座では、慌てて担保だけを動かそうとするとポジション管理に影響するため、プロトコル画面と公式資料を確認しながら段階的に対応します。
第三に、復旧フレーズの写真撮影、クラウド保存、メッセージ送信は避けます。今回のような物理的な改造は、従来の「オンラインへ入力しない」という対策だけでは防げませんが、複数の漏えい経路を同時に作らないことは依然として重要です。資産規模が大きい場合は、日常利用用と保管用を分け、Safeなどの複数承認や出金制限を組み合わせる運用も検討できます。
事件から見える自己管理の本当の責任
自己管理ウォレットは、取引所の破綻リスクから距離を置ける一方、鍵の生成から端末調達、保管、署名、復旧までを利用者側が管理する仕組みです。Ledgerのようなハードウェアウォレットは重要な防御手段ですが、製品単体がすべてのリスクを消すわけではありません。
今回の事例では、ソフトウェア、ファームウェア、Secure Elementだけを監視しても、筐体に追加された別の部品が復旧フレーズを読み取れば資産を守れませんでした。防御の対象は「秘密鍵を保管するチップ」だけでなく、購入前の流通、初回起動時の表示、バックアップ媒体、復旧作業、署名者の権限まで広がります。
また、オンチェーン分析で不正資金の移動を追跡できても、それは流出を事前に止めることとは別です。Chainalysisが3つのアドレスから同一ウォレットへの移動を示したように、事後の追跡可能性は高まっていますが、秘密情報を奪われた本人が送金を取り消せるわけではありません。透明性と予防策を混同しないことが重要です。
まとめ
偽求人によるタスク詐欺の運営者が、改造されたLedger端末を通じて60BTCを失った今回の事件は、犯罪者が被害者になったという話だけでは終わりません。正規の端末でも、販売後に物理改造されれば、初期設定中の復旧フレーズが漏れる可能性を示しました。
Bitcoin保有者だけでなく、Uniswap、Aave、Curveなどを利用するDeFi参加者も、端末の購入経路と復旧フレーズの来歴を点検する必要があります。高額資産や組織資金では、単一端末への依存を避け、Safeなどを用いた複数承認、署名者と調達経路の分散、少額テストを含む移行手順を整えることが現実的です。ハードウェアウォレットを「置けば安全な箱」ではなく、継続的に管理するセキュリティ工程として扱う姿勢が求められます。
