トレザー、Safe 5に不正回路の報告 クリプトビリス購入者に警告

ハードウェアウォレットメーカーのトレザー（Trezor）は10月30日、東南アジアの元正規販売店クリプトビリス（CryptoBilis）で販売された「Trezor Safe 5」1台に回路がひそかに組み込まれていたとの報告を28日に受けたと明らかにした。トレザーはまだ端末を直接調べていないが、報告は信頼できると判断し、2026年3月以降にクリプトビリスでトレザー製品を購入した人に対し、新しいリカバリーフレーズで作ったウォレットへ資産を早急に移すよう呼びかけた。今月初めに同じ販売店経由のレジャー（Ledger）製ウォレットで改造が確認されたのに続き、別メーカーの端末でも同様の報告が出たことになる。

販売停止から3週間後に届いた報告

トレザーが告知とあわせて公開した経緯は次の通りだ。

1. 10月9日レジャーがクリプトビリスで購入された端末に関する資金損失の報告について調査を始め、販売停止を求めた。トレザーも同日、クリプトビリスにすべてのトレザー端末の販売停止を求め、クリプトビリスはこれに応じた。
2. 10月10日レジャーが被害端末のうち少なくとも1台で、許可されていないハードウェアの埋め込みを確認した。
3. 10月13日レジャーのセキュリティチーム「Donjon」が、埋め込み装置が画面の表示を読み取り、リカバリーフレーズをLTE回線で送信するとの詳細を公表した。トレザーは同日、今後の正規販売店を絞り込むことを決めた。
4. 10月14日トレザーがクリプトビリスでの購入者に、検査のため端末を送るよう求めた。
5. 10月19日以降返送された4台を検査したが、改造の痕跡は見つからなかった。
6. 10月28日インドネシアのトレザー利用者が、8月に購入したSafe 5に埋め込み装置の疑いがあると報告した。トレザーのセキュリティ、ハードウェア、販売店担当の各チームが同日、報告内容と写真、領収書を確認した。

先に検査した4台は、4月6日に注文されたSafe 7が1台、6月7日に注文されたSafe 5が2台、8月4日に注文されたSafe 3が1台だった。トレザーは10月9日にクリプトビリスを販売店から外したのは予防措置だったとし、今回初めて、似た攻撃を受けた可能性のある端末1台の証拠が見つかったと説明した。

本体基板と画面の間にもう1枚の基板

報告によると、問題のSafe 5には本体基板と画面の間にもう1枚の基板が組み込まれ、そこにモバイル通信モジュールとアンテナが付いていた。この装置は画面に表示される内容、つまりウォレットのリカバリーフレーズ（シードフレーズ、ウォレットを復元するための単語の並び）まで読み取り、端末を接続するたびにモバイル回線で外部に送信する。トレザーはこの説明をまだ自ら確認していないと付け加えた。

端末はインドネシアのオンラインモール「トコペディア（Tokopedia）」にあるクリプトビリスの店舗で購入されたものだ。報告者は端末の重さが違うことに気づいていたが、埋め込み装置を見つける前に資金をすでに別の場所へ移していた。トレザーは報告者とビデオ通話で面談し、端末がラボに届き次第、直接検査するとしている。クリプトビリスでの購入者から資金を失ったとの報告はまだないという。

「これまでに確認した内容だけでも十分に巧妙に見えるため、今すぐ警告することにした。ラボでの確認を待てば、その間クリプトビリスの購入者が危険にさらされる」

トレザーの告知

レジャーの件と同じ犯人かについて、トレザーはメーカーごとに端末の構造が異なるため調査中は比較しないとし、誰の仕業かは分からないと述べた。レジャーなど調査に関わる各方面と情報を共有しており、暗号資産のセキュリティ事故に対応する緊急対応組織「SEAL 911」が対応を支援した。

古いリカバリーフレーズを別の端末に入れても無意味

トレザーは、報告があったのはSafe 5の1台だけだが、案内はクリプトビリスで購入されたすべてのトレザーのモデルに当てはまるとした。トコペディアの店舗を含め、クリプトビリスが商品を卸したすべての販売先が対象で、どこで買ったか分からない場合は領収書の販売者名を確認するよう求めた。

トレザーは、重さを量ったり端末を開けたりしても改造の有無は判別できないとした。重さの違いはほかの理由でも生じるため、はかりでは改造を確認することも否定することもできないという。また今回の件を口実に偽のメールや郵便、電話を使った詐欺が増える恐れがあるとし、トレザーのサポートがリカバリーフレーズを尋ねることは決してないと強調した。ほかの販売店や地域からの同様の報告はまだないとしている。