レジャー、改ざんをサプライチェーン攻撃と認定 新型端末も発表

暗号資産ハードウェアウォレットを手がけるLedgerは2026年10月15日、同社製品の改ざんについて、組織犯罪集団によるサプライチェーン攻撃だったとの認定を明らかにした。攻撃者は正規のLedger製端末を購入して開封し、リカバリーフレーズを窃取するための不正な部品を組み込んでいた。改ざんされた端末は東南アジアの販売代理店網を通じて流通したという。

Ledgerは、チップやオペレーティングシステム、サーバーに欠陥はなく、自社システムへの侵害もなかったと説明している。同社は捜査機関と協力して盗まれた資金の追跡と攻撃者のインフラ解体を進めているほか、可能な範囲で技術情報を共有し、他社のセキュリティ強化に役立てるとしている。

店頭調査と販売一時停止

同社はドイツを含む複数地域に調査チームを派遣し、店舗で製品を購入して点検したが、調査範囲内では異常は見つからなかったとしている。一方で、東南アジアと香港の正規販売店には一時的な販売停止を要請した。正規店や代理店に返品された端末は、新品や未開封に見えても再販売できないと改めて強調し、店頭への陳列を避けて在庫は店舗裏で保管すること、製品に異常があれば直ちに報告するよう求めている。

背景として、Ledgerは今回の攻撃が数カ月かけて準備された高度な犯罪だと説明している。攻撃者はリカバリーフレーズの収集や資産窃取、資金洗浄のためのインフラをそれぞれ構築し、数百万ドルを費やして体系的に利用者の資産を奪ったという。ブロックチェーン媒体のCoinPostが伝えたところによると、外部企業Bitqueryは11日時点で約9320万ドルが流出したと推計している。Ledgerは、ネット上に出回る数字は第三者によるもので十分に検証されていないとの立場を示している。

Ledgerはあわせて、セキュリティを重視して設計した新しいモバイル端末「Ledger Atom」を発表した。出荷は2027年に始まる見込みとしている。