Ledger、確認済みの被害は代理店CryptoBilis経由端末のみ、流出推計は最大9450万ドル

Ledgerは確認済みの被害がすべて代理店CryptoBilis経由の販売端末だと明らかにした。流出額の推計は8600万〜9450万ドルで割れ、TetherはUSDT1000万ドルを凍結。OneKeyは代理店契約を解除し無償交換を開始した。

ハードウェアウォレット大手のLedgerは2026年10月11日、10月9日に発覚した資産流出事件の確認済み事例が、すべて東南アジアの代理店CryptoBilis経由で販売された端末に関するものだとXへの投稿で明らかにした。同社のシステムと直販チャンネルには影響がないという。

不正なハードウェアを確認、改造の経路は未解明

同社によると、影響を受けた端末の少なくとも1台には不正なハードウェアが組み込まれていた。端末がどの段階で誰の手で改造されたのか、また、報告された盗難のすべてがこの手口に該当するのかは、この時点で分かっていない。

Ledgerは影響を受けた端末の数は限られていると述べ、関係当局と連携して調査を進め、被害を受けた利用者への連絡も進めている。ただし、CryptoBilisは同社のサイトに正規代理店として掲載されていた経緯があり、X上には責任を代理店だけに帰する説明への批判の投稿もある。

CryptoBilisはマレーシアに拠点を置き、インドネシアやフィリピンでも事業を展開する。自社の掲載では、LedgerやTrezor、OneKeyなど複数ブランドの正規代理店を名乗っていた。

流出額の推計は8600万〜9450万ドルで割れる

オンチェーン分析企業のBitqueryは、6つのブロックチェーンにまたがる315のウォレットから計9320万ドルが流出したと追跡した。別の調査筋YFarmXは、7つのブロックチェーン上の521アドレスから9450万ドルとした。暫定推計では約300のウォレット、8600万〜9300万ドルという見方もある。盗まれた資産の多くはUSDTやTRON系トークンだったという。Ledgerは流出総額を確認していない。

同じくBitqueryの追跡では、テザー（Tether）が盗難に関連するUSDT約1000万ドルを凍結したという。

利用者への指示とOneKeyの措置

Ledgerは、CryptoBilisで購入した端末のうち未使用のものは初期化しないよう呼びかけている。すでに設定済みの場合は、新しく生成したリカバリーフレーズによるウォレットへ資産を移すよう指示した。保管環境を見直したい場合、仮想通貨ウォレットの比較一覧も参考になる。同社は事件に便乗する詐欺への警戒も促し、「当社が電話をかけたり、DMを送ったり、24単語のリカバリーフレーズを求めたりすることは決してない」と強調した。影響を受けた利用者の総数や補償の方針については、具体的な説明をしていない。

同じくCryptoBilisが販売していたOneKeyの創業者でCEOのYishi Wang氏は10月12日、Xへの投稿で、新規代理店の受け入れ停止と既存代理店の全面再審査を発表した。「CryptoBilisの認定を取り消した。同社はもはやOneKeyの正規代理店ではない」という。経営主体や最終受益者の確認できない代理店は認定を取り消す方針で、代理店網は大きく縮小するという。自社ユーザーからの被害報告は現時点でないとしている。

CryptoBilis経由でOneKeyを購入した利用者には、2026年3月1日から10月12日までの購入分を対象に、初期化や使用の有無を問わず新品との無償交換を提供する。同型番がなければ新型への無償アップグレードとなり、旧端末の返送は不要。申請期限は2026年12月31日だ。

CryptoBilis自身はハードウェアウォレットの販売をすべて停止したことを認めており、Ledgerのサポートページの10月10日の更新は、調査の結論が出るまで同社製品の販売がないことを明記している。