📡 Signal｜Ledger、植込み装置が復元フレーズを携帯回線で送信と公表

Ledger は10月13日 (日本時間同日夕)、東南アジアの販売店 CryptoBilis が売った端末に仕込まれていた装置の仕組みを、自社のセキュリティ研究チーム Donjon の分析として公式 X で公表した。装置は端末のケースの内側にあり、初期設定で画面に出る 24 単語の復元フレーズを読み取って、組み込みの eSIM を使い携帯回線 (LTE) で外へ送る。同じ日には、ドイツの家電量販大手 MediaMarkt Saturn が、ドイツの購入者 1 人から植込みの報告を受けて Ledger 端末の店頭とオンラインでの販売を止めた。

10月11日の時点で分かっていたのは「被害端末の 1 台に許可のない部品があった」ことだけだった。今回、その部品が何をするのかがメーカーの分析で示され、植込みの報告が東南アジアの販売店 1 社の外、欧州の量販店からも上がった。端末の安全を「どこで買ったか」で切り分ける考え方は、ここで一段難しくなる。

10月11日の記事 の続報として、新たに分かったことを整理する。

秘密鍵の金庫には触れず、画面だけを読む

Ledger の説明では、植込みは独立した部品で、秘密鍵を保管するセキュアエレメント (耐タンパー性のチップ) にも Ledger の OS にも手を加えない。取引の内容や署名も書き換えない。狙うのは、設定の途中で一度だけ画面に表示される復元フレーズだ。

装置のマイコンは、復元フレーズの画面が出たことを検知すると、表示されている単語を読み取り、あらかじめ回線を設定した eSIM で送り出す。復元フレーズがあれば、端末そのものが手元になくても別の場所で同じウォレットを作り直し、資金を動かせる。

ハードウェアウォレットの設計は「秘密鍵を端末の外に出さない」ことに安全の根拠を置いてきた。今回の手口は、その設計が守る範囲の外側、つまり利用者が目で読むための表示を盗んでいる。セキュアエレメントが破られていないことと、利用者の資産が安全だったことは、別の話になる。

欧州の量販店でも報告、ただし資金の被害はなし

MediaMarkt Saturn での販売停止について、Ledger は「Ledger と足並みをそろえた」措置だとし、ドイツの購入者 1 人からの植込みの報告がきっかけだったと説明した。この件では資金の被害は報告されていない。Ledger は同じ投稿で、自社の基盤・システム・サービスが侵害された兆候はないとあらためて述べている。

Donjon の告知は、確認済みの資金流出はすべて CryptoBilis が売った端末に関係しており、他の経路で買った端末に結び付く流出は確認していないとする。一方で、ほかの端末や地域での植込みの報告も検証中だとしている。ドイツの 1 件が CryptoBilis の件と同じ装置かどうかは、まだ示されていない。

被害の総額や影響を受けた利用者の数も、Ledger は確認していない。オンチェーンの研究者による推計は 9,000 万ドル規模まで出ているが、Ledger は「ネット上の数字は第三者によるもので、十分に検証していない」としている。

業界全体の流通管理へ広がる対応

CEO のパスカル・ゴーティエ氏は X で、物理的なサプライチェーンへの細工は業界全体のリスクだとし、直販と販売店の両方の管理体制を見直していると書いた。誰がどの段階で端末に細工したのかは、調査を続けているという。ほかのメーカーや研究者にも、流通の過程での管理と改ざんの検知の手法を共同で整えるよう呼びかけた。

他社も動いている。The Block によると、CryptoBilis は Ledger 以外に Trezor や OneKey なども扱っていた。OneKey は自社の利用者の被害報告はないとしたうえで CryptoBilis の販売資格を取り消し、Trezor も細工された端末は見つかっていないとしつつ、同店を販売網から外した。

論点は販売網の管理へ移っている。正規の販売店一覧に載っていた店でも細工の余地があり、欧州の大手量販店でも報告が出た以上、利用者が「正規の店で買った」ことだけを安全の根拠にするのは難しい。メーカーが出荷から開封までの経路を利用者に確かめさせる仕組み (封印や端末の真正性の確認) をどこまで強められるかが、次の焦点になる。

次に見るもの

確認できる次の一点は、Ledger と Donjon の公式 X、Ledger のサポートサイト (support.ledger.com) で出る次の更新だ。①ドイツの 1 件が CryptoBilis の件と同じ装置か ②植込みが見つかった端末の台数 ③細工が流通のどの段階で行われたか、の 3 点が示されるかを見る。MediaMarkt Saturn が販売を再開するかどうかも、その判断材料になる。

今日できることは 2 つある。CryptoBilis で買った端末は、未設定なら設定を始めず、設定済みなら新しい端末に新しい復元フレーズで資産を移す。それ以外の経路で買った端末は、Ledger が内部の確認手順をサポートサイトで公開している (開けると端末を傷める恐れがあるため、復元フレーズの控えを先に確かめるよう注意している)。Ledger が電話や個別のメッセージで連絡したり、24 単語を尋ねたりすることはない。

ことば

• eSIM — 端末に組み込まれた書き換え可能な SIM。物理的なカードを差さなくても携帯回線につながるため、小さな装置でも外部と通信できる。今回の植込みはこれを使って復元フレーズを送っていた。
• セキュアエレメント — 秘密鍵を保管し、外から読み出されないよう作られた専用チップ。Ledger は今回の装置がこのチップにも OS にも手を加えていないと説明しており、狙われたのは画面の表示だった。
• Donjon — Ledger のセキュリティ研究チーム。自社と他社の製品の攻撃手法を調べており、今回は回収した端末の分析を担っている。

🔗 一次ソース

• Ledger 公式 X の Donjon による調査の更新 (2026年10月13日・植込みの仕組みと確認範囲) https://x.com/Ledger/status/2109896739985453358
• Ledger 公式 X の MediaMarkt Saturn での販売停止の告知 (2026年10月13日) https://x.com/Ledger/status/2109984923343782374
• Ledger CEO パスカル・ゴーティエ氏の X 投稿 (2026年10月13日・流通管理の見直し) https://x.com/_pgauthier/status/2109898470383329321
• OneKey 公式 X の告知 (2026年10月12日・CryptoBilis の販売資格取り消し) https://x.com/OneKeyHQ/status/2109518200962494729
• Ledger confirms hardware implant in CryptoBilis reseller units; MediaMarkt suspends sales (The Block・2026年10月13日・Trezor と OneKey の対応)theblock.co
• Ledger says spy chip inside CryptoBilis devices transmitted wallet keys over mobile network (CoinDesk・2026年10月13日)coindesk.com