仮想通貨ウォレット「Ledger Nano X」に盗聴回路、日本のAmazonやヤフオクでも改造品が見つかる

仮想通貨を安全に管理するためのハードウェアウォレット「Ledger Nano X」の内部に、復元用の24個の単語を盗み取る電子回路が仕込まれていたことが判明しました。日本のAmazonやYahoo!オークションで購入された製品からも改造部品が発見されているほか、製造元のLedgerは東南アジアの販売店を通じて購入された端末からも不正な電子回路が見つかったことを認めています。

Tibane Labs - Solana R&D
https://www.tibane.net/research/ledger-nano-x-implant

今回発見されたのは画面に表示される情報を内部から盗み見る仕組み。セキュリティ研究チームのTibane Labsによると、改造されたLedger Nano Xにはセキュアエレメントと画面をつなぐ配線から情報を読み取る小型の電子回路が取り付けられていたとのこと。

盗聴用の電子回路は画面に送られるデータを監視し、リカバリーフレーズが表示された際に文字の形を識別して24個の単語を記録します。さらに、携帯電話回線で通信するためのLTE通信モジュールやeSIMも備えており、記録した単語を外部に送信できる仕組みになっていました。利用者が初期設定を進めるだけでリカバリーフレーズが盗み取られてしまうというわけです。

同様の改造品は2025年8月に初めて報告され、ハードウェアのセキュリティ研究者であるジョー・グランド氏が2026年5月に開催されたセキュリティ関連の会議で解析結果を発表しました。初期の改造品は細い配線を手作業ではんだ付けした構造で、追加部品を収めるためにバッテリーも小型のものに交換されていました。

その後、Tibane Labsは2026年9月に新たな2台の改造品を入手しました。1台は日本のYahoo!オークションで購入された製品で、もう1台は日本のAmazonに出品されていた製品とのこと。Amazonで購入した端末は中国を拠点とする販売者が出品しており、マレーシアから発送されていました。

Yahoo!オークションで入手された端末には、薄く曲げられる専用基板が取り付けられていました。初期の改造品で使われていた大量の配線が整理され、内部に収まりやすい構造へと変化していたとのこと。ただし、引き続きバッテリーは小型のものに交換されていました。

一方、Amazonで入手された端末は画面の裏側にある緩衝材を取り除いて電子回路を収めることで元のバッテリーを交換せずに改造部品を隠していたことが判明。追加された基板は周囲と同じ黒色に塗られており、一部のチップには型番を判別できないように表面を削った跡も見つかっています。

Tibane Labsは新しい改造品の基板やアンテナが専用設計されている点にも注目しています。特にAmazonで入手された端末の改造部品は本体の内部構造にぴったり収まる形状となっており、Tibane Labsは多数の端末に効率良く取り付けられるよう設計されたものとみています。

また、Ledgerの正規品確認機能「Genuine Check」では盗聴用の電子回路を発見できないとのこと。Genuine Checkはセキュアエレメントが正規品であることを確認する機能であり、正規のチップを残したまま追加された部品までは検出できないと述べられています。

こうした中、Ledgerは2026年10月9日に東南アジアの販売店「CryptoBilis」を通じて購入されたウォレットから仮想通貨が盗まれたという報告について調査を開始し、製品の販売と発送を停止するよう要請しました。翌10日には被害者が所有していた端末の少なくとも1台から不正な電子回路を確認したと発表しています。

Ledgerによると、10月9日に公表された事件で確認された被害はCryptoBilisを通じて販売された端末に関連しており、影響を受けた製品の数は限定的とのこと。一方、Tibane Labsは日本で購入した改造品とCryptoBilisの間に直接的な関係があることまでは確認できていないとしています。

Ledgerは問題の販売店から購入した端末をまだ初期設定していない場合は使用を控えるよう呼びかけています。すでに初期設定した場合は信頼できる新しい端末で新たなリカバリーフレーズを生成し、仮想通貨を移動させることを推奨しています。

なお、Ledgerは自社のシステムや公式サイトから直接販売された端末への影響は確認されていないとしており、被害者への連絡を進めるとともに関係当局と協力して不正な改造が行われた経緯や実行者の特定に向けた調査を続けていると述べています。