ハードウェアウォレットは、復元フレーズや秘密鍵をPCやスマートフォンから離して扱うための道具です。ところが端末の中に小さな追加基板が仕込まれ、最初の設定時に表示する24語を横から読まれたらどうなるでしょうか。Ledger Nano Xをめぐり、そんな物理改造の実例が報告されています。
今回の焦点は、Ledgerのチップやサーバーが破られたという話ではありません。正規のSecure Elementを残したまま、画面へ出る情報の経路を盗み見る改造です。正規性の確認を通っても、追加された部品までは別の問題として残る――その違いを知っておくと、買った後の行動を落ち着いて選べます。
「本物と判定された」ことと、「開封後に物理改造されていない」ことは同じではありません。
これから設定する端末、すでに復元フレーズを表示した端末で、優先する確認を分けることが大切です。
何が起きた？Ledgerが説明する「配布経路」の攻撃
Ledgerは、東南アジアの再販業者を通じて販売された一部の端末を対象に、隠し部品を加える攻撃があったと説明しています。公式の対応情報では、チップ、OS、Ledgerのサーバーが侵害されたのではなく、端末がLedgerの管理を離れた後の配布経路で起きた局地的な攻撃と位置付けられています。
ここで混同しやすいのが、偽造品と改造品です。偽造品なら正規チップや正規OSをまねる必要があります。一方で今回説明されているのは、本物の端末を開け、正規部品を残したまま別の回路を忍ばせる手口です。外箱、ケース、通常の動作だけで、すべてを判断しにくい理由がここにあります。
Ledgerは正規再販業者の一覧でCryptoBilisの販売を一時停止と表示しています。購入元と購入時期が気になる場合は、SNSの投稿だけで判断せず、Ledgerの公式サポートへ個別に確認しましょう。
Secure Elementが守っていても、画面の外側は別問題
Ledger Nano Xは、重要な情報を扱うSecure Elementを中心にした設計です。通常はこのチップが復元フレーズや秘密鍵を保護し、操作の確認を端末画面で行います。だからこそ「本物か」を確かめるGenuine Checkは、正規のSecure Elementを確認するうえで役立ちます。
ただしLedger自身の部品の完全性確認ガイドは、元のSecure Elementが無傷なら、スパイ用インプラントのような無許可の物理改造をGenuine Checkでは検出できないと明記します。守るチップが本物でも、画面へ情報を送る配線の途中に別の部品があれば、検査の対象が違うためです。
Genuine Checkが失敗した、という意味ではありません。
正規チップを確認する仕組みと、端末内部に後から足された部品を見つける仕組みは、担当する範囲が異なります。
盗聴用の基板は、24語をどう読むのか
ハードウェア解析を公開したTibane Labsによると、調べた改造端末はSecure Elementを直接破るのではなく、OLED画面へ送られるSPI信号を読み取る構成でした。初期設定時に画面へ出る24語を文字として認識し、追加した通信部品から外へ送る、という説明です。
この解析は、日本のYahoo!オークションで購入した試料と、Amazon Japanで中国拠点の販売者からマレーシア発送で入手した試料も扱っています。ただし、これは解析者が入手した個別試料の報告です。日本の全出品、全端末が影響を受けるという意味ではなく、CryptoBilisの事案との直接の関係も確定していません。日本語の報道も、この留保を伝えています。
重要なのは、端末がネットへつながっていなくても、復元フレーズを表示する瞬間が狙われ得ることです。安全性を「USB接続かBluetoothか」だけで測らず、端末がどの経路で手元に届いたかまで含めて考えます。
まだ設定していない端末と、設定済み端末で行動を分ける
まだ初期設定していない端末なら、自己判断でフレーズを表示して試す前に、購入元、注文記録、端末の状態を控え、Ledgerの公式サポートへ相談するのが安全です。Ledgerも影響が疑われる端末を設定しないよう案内しています。分解には破損や保証への影響もあり得るため、公式の指示なしに無理に開けることは勧められません。
すでに復元フレーズを表示して設定済みなら、問題は「今も端末が動くか」だけではありません。フレーズが漏れた可能性をどう扱うかです。Ledgerは、信頼できる新しい端末で新しい復元フレーズを生成し、資産を移すよう案内しています。具体的な操作や送金先を急いで決める前に、公式サポートの案内と、自分が使うネットワーク・サービスの手順を照合してください。
復元フレーズを、サポート担当者、販売者、チャット、入力フォームへ渡してはいけません。
支援を求めるときも、注文番号や端末の購入経路は伝えてよい一方、24語そのものは誰にも共有しないのが原則です。
購入前後の確認は、「封があるか」だけで終わらない
今後購入する場合、公式ストアまたはLedgerが案内する販売経路を選ぶことは、間に入る経路を短くする一歩です。それでも安全を一つの印や一つの判定に預けず、販売者、発送元、返品品の扱い、到着後の公式アプリによる確認を、ひとまとまりで見ます。
これは、AIエージェントに許可する範囲を一か所で終わらせず、実行環境と監視を重ねる権限境界の考え方にも似ています。部品、流通、初期設定、保管のどこか一つだけを信じ切るのではなく、異常があったときに止まれる場所を残すことです。
ハードウェアウォレットの安全性は、チップの強さだけで決まりません。
どこから届き、最初に何を表示し、疑いが出たときにどの公式窓口へ戻るか。物理改造の報告は、デジタルの鍵を守る仕事が、流通と手元の扱いまで続いていることを示しています。
