要点
- Trezor は、再販業者 CryptoBilis から買った Trezor Safe 5 の3台に、後から足された基板があったと発表した。
- この基板は、画面に出る回復フレーズ（財布を復元するための合言葉）を写し取り、携帯回線で攻撃者のサーバーへ送るとされる。
- Trezor は、資金を失ったという報告はまだないとしている。一方 Ledger は、東南アジアの再販業者を通った自社の財布で、実際に資金が抜かれたと述べている。ただし Ledger は CryptoBilis の名を挙げておらず、両者の関係は確かめられていない。
何が起きたか
Trezor は 2026年11月12日、CryptoBilis の調査結果を公式ブログで発表した。CryptoBilis は東南アジアの公式再販業者だったが、Trezor は 10月9日に認定から外している。
Trezor によると、細工された Safe 5 は3台だ。1台は Trezor の研究室で調べ、残る2台は持ち主が送った内部の写真から判断した。買われたのは 8月20日から 9月23日の間で、購入先は Tokopedia と Shopee の CryptoBilis の店、または CryptoBilis 本体だった。
細工の中身は、本体の基板と画面のあいだに挟まれた追加の基板だ。Trezor は、財布のファームウェア（機器の中で動くソフト）や、鍵を守る専用チップには手を加えていないと説明している。画面に出る内容を盗み見るだけの作りだという。財布を新しく作るときに表示される回復フレーズ、復元のときに入力されるフレーズ、画面に出るパスフレーズを覚える。集めた情報は暗号化し、送信に失敗しても成功するまで繰り返す。
本物の財布が、売り場に着くまでの道で細工された形だ。誰が、どの段階で仕込んだかは、Trezor は明らかにしていない。技術の細部も、悪用を避けるため公表していない。
Ledger は 10月15日のブログで、犯罪グループが本物の Ledger を買い集め、中に部品を仕込み、東南アジアの再販ルートへ戻したと述べた。そのうえで、集めたフレーズを使って財布を一斉に空にしたとしている。Trezor は、自社の細工も Ledger のものと似た働きだと述べている。
Trezor は、他の地域の再販業者の製品や、Safe 5 以外の機種からは細工を見つけていない。CryptoBilis の購入者のうち 48人が連絡してきており、機器を調べている最中だ。
日本の利用者への影響
日本の利用者への影響は、一次情報には書かれていない。Trezor の発表も日本には触れていない。確認された購入経路は東南アジア向けの店だ。ただし、海外通販や個人輸入で買った人が含まれる可能性はある。買った店は各自で確かめてほしい。
今すぐやること
- 買った店を確かめる。CryptoBilis から、または Tokopedia・Shopee の同社の店から買ったなら、対象だ。Trezor は、3月以降の購入者に対策を勧めている。
- 対象なら、その財布に入れた資金を、新しい財布へ移す。Trezor は、新しい回復フレーズ（新しいシード）の財布へ、できるだけ早く移すよう勧めている。細工された財布が作ったバックアップを別の機器で使っても、問題は解決しないという。
- 疑わしい機器は、設定も使用もせず、手元に残す。Trezor のサポート（trezor.io/support）に連絡すると、交換や返金が案内される。
- 回復フレーズは誰にも教えない。Trezor はフレーズを聞くことはないと述べ、この件に便乗した詐欺に注意するよう呼びかけている。
- これから買うなら、Trezor は公式サイト（trezor.io）からの購入を勧めている。出どころが不明な中古品や、封が開いた箱は避ける。
背景
ハードウェアウォレットは、秘密の鍵を機器の中に閉じ込めて守る道具だ。機器そのものが正しくても、売り場に届く前に中身を替えられると、その安全は崩れる。今回は、機器の中のソフトではなく、物の流通が狙われた。
Trezor は、再販ルートを約 80% 減らし、残る業者に仕入れ・保管・立ち入りの厳しい決まりを課した。Ledger も、返品された機器の再販を禁止し、売り場に並べず、客に渡す時に出す運用を求めている。
筆者の見立てでは、公式から買う理由はここにある。再販業者は流通の途中にあり、誰かが開封して戻しても、買う側は見分けにくい。
技術者向けの詳細
- 影響機種: Trezor Safe 5。細工が確認されたのは CryptoBilis 経由の3台のみ（Trezor の発表時点）。
- 方式: 本体基板と画面の間に挟む追加基板。ファームウェアと Secure Element は未改変とされる。
- 対策: ファームウェア 2.13.1（2026-11-11 公開）で、これまで見つかった細工による取得は止まるとされる。取得済みの回復フレーズは守れない。
- 自分で確かめる方法: Trezor は自己点検の方法を公表していない。疑う場合は、使わずにサポートへ連絡する。
- 購入経路: Tokopedia・Shopee の CryptoBilis の店、CryptoBilis 直販。
- 時系列: 10月9日 認定解除、10月13日 再販網の縮小を発表、10月30日 疑いの警告、11月12日 調査結果。
- 詳細は Trezor のブログと Ledger の声明を参照。
