資金について：CypherpunkGuideは、リンク先の購入ガイドを通じて紹介報酬を得る場合がある。この記事に直接の購入用紹介リンクはない。今回の分析について、ウォレット事業者からスポンサー料は受けていない。
ハードウェアウォレットが保管するのは、送金を承認するための鍵である。コイン自体は端末の中に入っているのではなく、それぞれのネットワークに記録されている。鍵を第三者に取得されれば、手元の端末をネット接続しなくても、その第三者は送金できる。
まず確認すべきなのは、購入先、端末を設定したかどうか、そして残っている資産の有無だ。添付の8場面の判断表では、それぞれの対応と、本物確認だけでは分からないことを分けた。公開資料を分析して作った表であり、実機の検査や資産移行の試験結果ではない。
CryptoBilisの流出報告で分かっていること#
Ledgerが調査しているのは、東南アジアで営業する販売店CryptoBilisの購入者から寄せられた流出報告である。Ledgerの全端末が侵害されたと確認されたわけではない。
10月9日、CointelegraphはLedgerの注意喚起を報じ、同社へ取材した。Ledgerは販売店に販売・出荷の一時停止を求めたが、原因、被害総額、被害に遭った顧客の人数は公表段階で確定していなかった。同社は、直販の購入者からは報告を受けておらず、自社の基盤・システム・サービスも侵害されていないと回答している。これは調査中の企業による説明であり、ほかの購入者の安全を独立した検証で保証するものではない。
2026年10月10日にLedger Supportが10月9日に公開した元投稿の全文を直接読み、対象となる購入期間と予防措置を照合した。その後の更新はLedgerの公式案内を確認する必要がある。
10月10日に確認したBitqueryの独自分析は、5つのネットワーク、311ウォレットで約9,290万ドル、そのうちBTC部分を203.8 BTCと推計している。これは同社の推計であり、CypherpunkGuideが全取引を再計算した値ではない。ウォレット数は人数と同じではなく、分析対象の全件がCryptoBilis購入者だったことも独立には立証されていない。送金の動きだけでは、鍵がどこで漏れたかは分からない。最初の入金日から端末の購入日を確定することもできない。
購入時期と現在の状態から対応を選ぶ#
報道された10月9日の案内は、その注意喚起に先立つ90日間にCryptoBilisで購入した人を対象としている。その期間外なら安全という証明にはならない。購入経路が不明なら、推測せず記録を確認すること。
| 現在の状態 | 最初にすること | 避けること |
|---|---|---|
| 案内の対象期間内に購入し、まだ設定していない | 設定と入金を止め、購入記録を保管して最新の公式案内を確認する | 販売店が用意した復元用の単語を使うこと。自分で分解して安全と判断すること |
| 案内の対象期間内に購入し、設定済みで資産がある | 信頼できる新端末と新しく生成した復元フレーズへの移行を検討し、宛先と復旧手段を確認する | 旧フレーズを交換端末へ復元し、鍵も新しくなったと考えること |
| 身に覚えのない送金がすでに発生した | 取引ID、時刻、購入記録を保存する。残る資産への対応と公式窓口への連絡を進める | 「診断」のために追加送金すること。回収を保証する見知らぬ相手に料金を払うこと |
| 購入先や購入日が分からない | 自分で探した正規の窓口を通じ、請求書や販売店の情報を確認する | 「対象者か調べる」と称するサイトへ復元用の単語を入力すること |
復元用の単語、PIN、追加パスフレーズを、サポート担当者、ウェブサイト、メッセージで接触してきた相手へ渡してはいけない。Ledgerもこうした手口をフィッシングへの注意喚起で説明している。窓口は公式サイトから自分で探すこと。検索広告や届いたメッセージだけでは、相手が正規の窓口だとは確認できない。
Genuine Checkの合格だけでは物理改造を否定できない#
Ledgerの本物確認機能Genuine Checkは、不正な物理改造をすべて検出できるわけではない。Ledger自身の技術資料は、元の安全用チップであるSecure Elementが保たれていれば、盗み見用の部品を追加されても検査をすり抜けうると説明している。製造から到着まで、端末がどのように扱われたかも、この検査では確認できない。
報道された案内の対象となる未設定の端末は、検査のためでも初期設定してはいけない。その「設定しない」という案内の対象外では、正規のソフトウェアでメーカー指定の検査を行い、その検査の範囲も理解する必要がある。検査の合格、無傷に見える包装、少額送金の成功は、鍵をほかの誰も知らないことの証明にはならない。ただし、この限界があること自体は、今回の流出原因が部品の追加改造だった証拠ではない。
疑いがあるなら、使用を止めて公式の案内を確認する。目視しただけで安全と判断しないこと。分解によって端末を壊したり証拠を変えてしまったりする可能性があり、改造箇所を初心者が見分けられるとも限らない。
端末の交換と、漏れた可能性のある鍵の変更を分ける#
復元に使う秘密情報が漏れた疑いがある場合、それを別端末へ復元しても危険は残る。BIP39の仕様では、同じ復元用の単語とパスフレーズから、鍵のもとになる同じシードが作られる。PINを変えても、そのシードは失効しない。
別の鍵へ移行するには、信頼できる環境で新しい復元用の秘密情報を生成し、残る資産を新しいウォレットへ送る必要がある。旧シード内で別のアカウントや受取アドレスを作るだけでは代わりにならない。
操作前に、次の3点を確認すること。
- 疑わしい端末に頼らず、信頼できる移行先を用意する。そこで新しい復元フレーズを生成し、秘密として保管する。新しいフレーズを疑わしい端末へ入力してはいけない。
- 移行先が対象の資産とネットワークに対応していることを確認する。受取側の信頼できる端末で受取アドレスの全文を照合し、送金の承認前には金額、ネットワーク、手数料も確認する。Sparrowの説明は、端末画面で照合する意味を扱っている。疑わしい端末の画面だけで、安全が独立に保証されるわけではない。
- 移行先の復旧手段を確認する。残る資産を保護し、再びアクセスする方法を確認する前に、旧端末を消去してはいけない。平時の準備には、受領・署名・復旧の確認手順を使える。
少額の試験送金は、宛先の間違いを見つける助けになる。端末や鍵が侵害されていないことまでは証明しない。盗難が進行中なら、一定時間待つことで資産が危険にさらされ続ける可能性もあるため、一律の待機時間は定めない。実際の送金手順は端末、資産、ネットワークによって異なる。急ぐために復元フレーズをソフトウェアやウェブサイトへアップロードしてはいけない。
すでに流出した場合は、証拠と残る資産を守る#
取引ID、発見時刻、購入記録、関連するメッセージを保存し、残る資産を保護する。その過程で個人情報まで広く公開しないこと。請求書の公開は住所を漏らしたり、実名とウォレットの動きを結び付けたりするおそれがある。
Ledgerの公式サポートに連絡し、状況に応じて地域のサイバー犯罪相談窓口や、関係する取引所の正規サポートへ相談する。機密性のある記録は、確認済みの窓口だけに渡すこと。復元用の単語、PIN、パスフレーズは公開してはいけないし、非公開のやり取りでも証拠として提出してはいけない。米国FBIの回収詐欺への警告は、回収サービスを装って被害者に料金を請求する手口を説明している。返還の保証や前払いの要求があれば、いったん止まること。資産を追跡・凍結できたことと、返還されたことは別である。
今後の対策は、復旧できる範囲で増やす#
購入経路の確認、秘密情報の保管、送金内容の照合は、それぞれ別の失敗に備える対策である。どれも「ハードウェアウォレットは攻撃されない」という保証にはならない。
確認可能な経路で購入し、ソフトウェアはメーカーの公式サイトから入手する。販売店が用意した復元用の単語は使わず、バックアップを撮影・クラウド保存せず、サポートへのメッセージにも記載しないこと。Ledgerの購入時の案内も、流通過程での危険を認めている。ブランドを替えても、漏れた秘密情報を使い続ければ、その漏えいは解消しない。
追加のパスフレーズは、復元用の単語と組み合わせて別のウォレットを作る。Ledgerの説明のとおり、設定しただけで既存の資産がそこへ移るわけではない。保管すべき秘密も一つ増える。今回の事件がパスフレーズによって防げたという結論は出ていない。
**2-of-3のマルチシグ（複数の鍵による送金承認）**では、独立した3つの鍵のうち2つで送金を承認する。一つの鍵への依存を減らせるが、ウォレットの構成情報や復旧の準備も必要だ。緊急時に、初めての複雑な構成を慌てて覚えようとしないこと。SLIP39によるバックアップの分割は別の仕組みである。分割した情報を集めて一つの秘密情報を復元するもので、独立した複数の鍵で送金を承認するものではない。
秘密情報を書き込まずに対応を整理する#
添付の判断表には、8つの場面ごとに対応、その限界、根拠となる資料を記載した。アドレス、残高、注文番号、復元用の秘密情報の入力は必要ない。資料を読むための補助であり、ウォレットを検査して安全と認定する道具ではない。
よくある質問#
Ledgerはすべて危険だということですか？#
そのような結論は出ていません。今回の調査と報道された案内は、CryptoBilisの購入者に関するものです。ある販売経路から被害報告が出ていないことと、その経路の全端末の安全が証明されたことは違います。
復元フレーズを知られた場合、PINの変更で送金を防げますか？#
防げません。PINが保護するのは、手元の端末へのアクセスです。復元用の秘密情報を使って別の場所でウォレットを再現する人には、その端末のPINは必要ありません。追加パスフレーズを使っている場合は、それも別途、復元に必要な情報となります。
ウェブサイトで復元フレーズが安全か確認できますか？#
実際の復元用の単語を、ウェブサイト、チャット、サポートフォームへ入力してはいけません。この記事と判断表にも必要ありません。復元やバックアップの確認で秘密情報の入力が必要な場合は、メーカーが案内する手順に従い、自分の信頼できる端末で行ってください。
出典と更新記録#
確認日は2026年10月10日。参照した資料では、事件の原因は未解明である。判断表は資料の分析から作成した。疑わしい実機の検査や、実資金の送金は行っていない。10月9日の公式X声明は10月10日に全文を直接読み、購入期間と予防措置を照合した。その後の更新はLedgerの公式案内を確認する必要がある。
