スパイチップ疑惑でアジア7市場でLedgerウォレット販売中止

7つの市場で販売停止

10月13日に投稿された事件の最新情報において、フランスのハードウェアウォレットメーカーであるレジャーは次のように述べました：

[We are] 調査が続く間、東南アジアおよび香港の再販業者と販売代理店に対し、Ledgerデバイスの販売を一時停止するよう要請しました。これには、店頭からの商品撤去も含まれます。

販売停止の対象は、インドネシア、シンガポール、タイ、フィリピン、ベトナム、マレーシア、香港です。当初は地域の再販業者1社のみを対象としていた措置から、大幅に範囲が拡大しました。

同社は、調査の進展に伴い確認されたインシデントが東南アジアに限定されていることに留意し、認める範囲を慎重に限定しました。さらに、同社は次のように明確にしました：

「他で購入されたデバイスに関連する資金流出は確認されていません。また、Ledgerのインフラ、システム、サービス、あるいは直販チャネルが侵害されたという兆候は一切ありません。」

最後に、同社は社内のセキュリティ研究チーム「Ledger Donjon」が回収したデバイスを分析し、誰がハードウェアを改ざんしたのか、また流通チェーンのどの段階でそれが行われたのかを特定すると述べました。

「Ledgerスパイチップ騒動」の経緯

この危機が公になったのは10月9日、ユーザーが東南アジアで事業を展開する再販業者「Cryptobilis」を通じて購入したウォレットから暗号資産が流出したと報告したことがきっかけでした。LedgerはCryptobilisに対し、すべての販売と出荷を一時停止するよう要請し、それ以来、推定損失額は最大9,340万ドルに達すると見込まれています。

その後、10月10日には、影響を受けたユーザーの端末1台内に隠されたハードウェアインプラントが存在することを確認しました。このインプラントは、セットアップ中に表示される24語のリカバリーフレーズを読み取り、eSIMを介してLTE経由で攻撃者に送信することが可能でした。

騒動はその後ヨーロッパにも波及し、あるユーザーがドイツの家電量販店メディアマルクト（Mediamarkt）で購入したLedger端末に隠されたインプラントを発見したと報告しました。また、元Mt. Gox CEOのマーク・カルペレス氏は、その端末のアンテナに「ユーラシア版」と表示されていたと指摘しました。 10月13日、メディアマルクト・サターンは、ドイツの顧客1名からのインプラント報告を受け、同社もこれを支持するとして、Ledgerデバイスの販売を全面的に中止しました。Ledgerによると、この件で資金の損失は報告されていないということです。

競合他社も警戒を強めており、トレゾール（Trezor）は自社のデバイスが侵害された証拠はないと主張しつつも、「残ったパートナーをすべて精査・確認できるほど小規模な」ネットワークを構築するため、2027年1月1日から一部の再販業者との提携を終了すると発表した。

Ledger購入者が今すべきこと

過去90日以内にCryptobilisから購入した顧客は、未使用のデバイスをセットアップすべきではありません。すでにセットアップ済みの場合は、新しいリカバリーフレーズを使用して新しいウォレットに資金を移動させる必要があります。デバイスに関する質問があるユーザーは、Ledgerの公式サポートチャネルを通じて問い合わせることができます。

同社はまた、詐欺師がこのような事件を悪用する傾向があるとして、以下の警告を投稿しました：

「Ledgerがお客様に電話をかけたり、直接メッセージを送ったり、24語のリカバリーフレーズを尋ねたりすることは決してありません。オンライン上で出回っている多くの主張や数値は、未確認の情報です。」