Trezor、マレーシアのCryptoBilisウォレットにスパイウェア埋め込みが含まれていたと発表

Trezorは、マレーシアの公式販売代理店CryptoBilisが販売したハードウェアウォレットに、物理的なスパイウェアの埋め込みが含まれていたと主張している。

影響を受けたデバイスはSafe 5モデルで、2026年8月にCryptoBilisから購入されたものだ。

TrezorがProtosに説明したところによると、改ざんはマザーボードとディスプレイの間に追加の回路基板を挿入し、セルラーモジュールとアンテナを備えたものだという。検証されていないユーザー報告によると、この埋め込みは「画面に表示される内容（ウォレットのバックアップを含む）を読み取り、デバイスが電源に接続されるたびにモバイルネットワーク経由で送信する」という。

この手法は、以前に一部のLedgerハードウェアで見つかったスパイウェア要素と似ている。

TrezorはCryptoBilisから購入したデバイスを交換する

「当社はまだこのデバイスをラボで確認していませんが、この報告は信頼できるものとして扱っています。確認を待ってその間に誰かが資金を失ったと分かるよりは、今すぐ人々に警告したいのです」とTrezorの最高商務責任者Danny Sandersは述べた。

2026年3月以降にCryptoBilisからウォレットを購入した人は、資金を移し、交換用デバイスを受け取るためにTrezorに連絡するよう勧められている。

2026年3月より後に販売代理店CryptoBilisからTrezorを購入した場合は、今すぐ資金を新しいウォレットに移してください。

当社は、改ざんされた1台のデバイスの報告を受けています。これは信頼できる埋め込みであると判断し、迅速に対応しています。現時点で、資金が失われたという報告はありません。

— Danny（@Dantoshi）

CryptoBilisから入手したほかの4つのTrezorウォレットについても、同社が検査し、Protosに対して「改ざんの証拠は見つからなかった」と述べた。

Trezorは今後、他の販売代理店との関係を断つ可能性がある

10月9日、Trezorは、CryptoBilisが販売したデバイスを介して配布されたスパイウェアを使ったLedgerウォレットへの8600万ドルのハッキングの後、CryptoBilisを公式販売代理店のリストから外した。

同社は現在、アジア全域の残りの販売代理店を審査していると述べている。

この出来事の後、Ledgerも、マレーシア、インドネシア、シンガポール、タイ、フィリピン、ベトナム、香港を含む東南アジアの複数の国・地域の公式販売業者との関係を断った。

Ledgerのハッキングの後、Trezorは「Trezorデバイスが侵害されたという証拠は一切ない」と述べていた。

同社は最新の報告書で「盗まれたと報告された資金はない」と繰り返した。