📡 Signal｜Trezor、サプライチェーン対策で正規販売店を削減

ハードウェアウォレット大手の Trezor は10月13日、公式 X で正規販売店の数を減らすと発表した。最近のサプライチェーンの事案を受け、残る販売店を自社で確実に点検できる規模に絞るためだという。外される販売店の認定は 2027 年 1 月 1 日で終わり、新しい在庫の出荷はすでに止まった。

Trezor は同じ投稿で「Trezor の端末が侵害された証拠は一つもない」と強調し、予防の措置だと説明した。それでも、メーカーが自分の販売網を自ら削るのは、ハードウェアウォレットの安全が端末の設計だけでは決まらなくなったことを示している。

商務責任者の書簡に書かれた中身

Trezor の投稿が引用したのは、商務責任者 (CCO) のダニー・サンダース氏が X に載せた、販売店に宛てた書簡だ。

書簡は、別のハードウェアウォレットのブランドへの最近のサプライチェーン攻撃が「ハードウェアウォレットは、持ち主に届くまでの道筋と同じだけしか安全ではない」ことを裏付けたと書く。自社で十分に点検できない手を経由する端末は、誰かの貯蓄を危険にさらす。だから販売網を、残るすべての取引先を審査し点検できるところまで小さくする、という。

線引きは国ごとに行った。売上と流通の規模を、その国での Trezor 自身の存在感や到達力と比べ、本物の Trezor を簡単に買える最善の形を探したとしている。書簡を受け取った販売店は、2027 年 1 月 1 日に正規販売店の一覧から外れる。出荷は書簡の日で止めるが、それまでの間は手元の在庫をブラックフライデーと年末の商戦を通じて売り続けてよいとした。

書簡は、この決定は販売店の事業や、売ってきた端末の安全についての評価ではないと明記している。残る取引先には、更新した契約の枠組みと、端末の調達・保管・取り扱いについてのより綿密な点検を求める。外す販売店の数や、どの国が対象かは示していない。

引き金は Ledger の植込み事件

書簡はブランド名を挙げていないが、時期が重なるのは Ledger の件だ。Ledger は同じ10月13日、東南アジアの販売店 CryptoBilis が売った端末の内側に、初期設定で画面に出る復元フレーズを読み取って携帯回線で送る装置が仕込まれていたと公表した (詳細は 10月14日の記事)。ドイツの家電量販大手 MediaMarkt Saturn も、購入者 1 人からの報告を受けて Ledger 端末の販売を止めた。

The Block によると、CryptoBilis は Ledger のほかに Trezor も扱っており、Trezor は細工された端末は見つかっていないとしつつ、同店を販売網から外していた。今回の措置は、問題の 1 店を外す対応から、販売網全体の設計を見直す対応へ一段進めたものになる。

販売網が攻撃面になった

ハードウェアウォレットは、秘密鍵を端末の外に出さないことを安全の根拠にしてきた。Ledger の件で破られたのはそこではなく、工場から利用者の手元までの間に誰が端末に触れられるか、という流通の部分だった。

メーカーが取れる手は二つある。販売店を減らして一つずつ点検するか、利用者が開封時に端末の真正性を確かめられる仕組みを強めるかだ。Trezor は前者を選び、販売店の数を減らす代わりに、残る店への要求を上げた。販売店が身近にない国では、公式ストアから買う比率が上がるだろう。

ビットコインやイーサの自己保管は、取引所の破綻やハッキングに備える手段として勧められてきた。その前提である「本物の端末を手に入れること」が、メーカーと販売網の側の仕事として問われ始めている。

次に見るもの

確認できる次の一点は、Trezor 公式サイトの正規販売店の一覧ページだ。2027 年 1 月 1 日の前後で、どの国のどの店が一覧から消えるかが、縮小の実際の規模を示す。Trezor が残る取引先に求める点検の中身を公表するか、ほかのメーカーが同じ方向に動くかも見る。

利用者の側では、これから端末を買うなら、メーカーの公式ストアか、公式サイトの一覧に載っている販売店から買う。届いた端末の封印や箱に開けた跡がないかを確かめ、復元フレーズが最初から印刷されていたり、設定済みだったりする端末は使わない。

ことば

• ハードウェアウォレット — 暗号資産の秘密鍵を、ネットにつながらない専用の端末の中で保管する道具。取引所に預けずに自分で資産を持つ「自己保管」の代表的な手段になっている。
• サプライチェーン攻撃 — 製品が作られてから利用者に届くまでの途中で、部品や端末に細工をする攻撃。今回のように販売店の段階で仕込まれると、正規品と見分けにくい。
• 復元フレーズ — ウォレットを作り直すための 12〜24 個の単語の並び。これがあれば端末がなくても資産を動かせるため、Ledger の件では植込み装置がこれを盗み出していた。

🔗 一次ソース

• Trezor 公式 X の発表 (2026年10月13日・正規販売店の縮小と侵害の証拠がないことの説明) https://x.com/Trezor/status/2110000774314873020
• Trezor の CCO ダニー・サンダース氏の X 投稿 (2026年10月13日・販売店宛ての書簡・認定は 2027 年 1 月 1 日まで) https://x.com/Dantoshi/status/2110000117856248141
• Trezor の正規販売店一覧trezor.io
• Ledger 公式 X の Donjon による調査の更新 (2026年10月13日・植込みの仕組み) https://x.com/Ledger/status/2109896739985453358
• The Block の報道 (2026年10月13日・CryptoBilis と各社の対応)theblock.co