2026年、ハードウェアウォレットのセキュリティ問題が深刻化、Ledgerの改ざんが拡大

2026年中に、6つのハードウェアウォレットブランドがセキュリティ問題を明らかにしたが、実際にデジタル資産が盗まれたのはそのうち2件だけだった。直近の事件は、顧客に届く前に改ざんされたLedgerデバイスに関するものだ。

ハードウェアウォレットの中心的な機能は、ユーザーの24語のリカバリーフレーズ（暗号通貨の鍵）をオフライン環境で保管することだ。

2026年はウォレット企業に弱い乱数生成、レーザー攻撃、データ漏えいをもたらす

7月30日から、攻撃者は不十分な乱数生成で設定されたColdcardウォレットにアクセスした。Galaxy Researchはその後、Coldcardウォレットからの損失が$115 millionを超えたと報告した。

6月に、Ledgerのセキュリティ研究者らはレーザー機器を用いてTrezor Safe 7デバイスのチップを侵害し、翌月にはTangemカードにも同様のことを行った。これらの攻撃には、ウォレットの物理的な所持と特殊な実験室設備が必要だった。

Trezorは顧客に対し、資金が引き続き安全であると保証した。Tangemは一般ユーザーへの脅威を「事実上存在しない」と説明し、研究者らが競合するハードウェアウォレット企業に雇用されていたことを強調した。

BitBoxは8月、自社の開発者が重大と判断した複数のファームウェア脆弱性に対するパッチをリリースした。BitBoxウォレットから資金が盗まれたとの報告はなかった。

一部のセキュリティインシデントは秘密鍵ではなく個人情報を暴露した。Trezorが利用していた配送会社が13,689人の購入者の詳細を漏えいし、SafePalの侵害で約40,000人の顧客の自宅住所が公開された。

「2026年はハードウェアウォレットのセキュリティにとって、最も波乱の年の一つとして記憶されるかもしれない」とWise Adviceは述べた。

Ledgerの改ざん事例がアジア以外でも表面化

Ledgerは土曜日、ハードウェアインプラントが顧客のデバイスに無断で挿入されたと発表した。翌日の更新では、検証されたすべての改ざん事例がマレーシアの販売店CryptoBilisに関連していると報告された。

販売店CryptoBilis事件に関する72時間の最新情報 🔽

調査が続く中、我々は関連当局と協力しています。影響を受けたデバイスの数は限られています。これが懸念されること、特に直接影響を受けた人々にとっては心配であることを認識しており、影響を受けたユーザーに連絡を取っています。…

— Ledger (@Ledger) October 11, 2026

ブロックチェーンアナリストは、これらの改ざんされたデバイスによる総損失は約$90 millionと推定している。ある被害者は、ウォレットを初期化してから数日後に80 Bitcoinを失った。Ledger自身は、総損失に関する公式な数字を発表していない。

販売店のCryptoBilisはすべてのハードウェアウォレットの販売を停止した。LinkedIn上で、同社の共同創業者らは、事業の支配権は3月に新しい経営者に譲渡されたと述べた。

別途、正規の欧州ストアから購入したLedgerデバイスに、正規品に見られる内部配線とは異なる配線が含まれているというユーザー報告がある。Ledgerは、CryptoBilisに関連するもの以外の改ざん事例を検証していない。

ハードウェアウォレット利用者へのメーカー指針

Ledgerは顧客に対し、自社ストアまたは正規販売店からのみ購入するよう助言している。同社は特に、CryptoBilisから購入した顧客に対し、未使用のデバイスを初期化せず、新しいリカバリーフレーズを使って資金を移すよう指示した。

LedgerデバイスのGenuine Check機能は、内部セキュリティチップの真正性を検証する。しかし、このプロセスは、そのチップの周辺に施されたすべての物理的改変を検出できるわけではない。

BitBoxはユーザーに対し、ファームウェアを最新の状態に保ち、リカバリーフレーズをウォレットハードウェア自体にのみ入力するよう推奨している。Trezorは、フィッシング攻撃が物理的改ざんよりも日常的な脅威になると主張している。

Ledgerはまた、他のメーカーに対し、改ざん耐性とサプライチェーン監視の共通基準について協力するよう求めた。

2026年において、完全に安全なハードウェアウォレットが存在するかどうかは依然として疑問である。実験室環境以外でチップが侵害された例はないものの、ColdcardとLedgerの顧客は、弱い鍵と販売前のデバイス改ざんにより、それでもなお金銭的損失を被った。