Ledger利用者から約9,000万ドル流出：販売代理店を経由したサプライチェーン攻撃

1. 事件の経緯

今回の被害者は、フィッシングリンクを開いたわけでも、シードフレーズを他人に教えたわけでもありません。Ledgerを購入し、通常の手順で初期設定して資産を入金したところ、数日から数週間後に資産をすべて抜き取られました。

注目すべき点として、オンチェーン上で確認できる最初の流出は、最初の公開警告より約6時間早く発生しています。

2. recoinによるオンチェーン検証

報道されている数字の多くは第三者によるものです。recoinでは、公開された攻撃者アドレスと被害者アドレスを独自に検証しました（データは2026年10月10日時点）。

① 事例の検証：80 BTCの被害者

着金先の bc1qqnkw…jtm9 は、MistTrackが公開した攻撃者アドレス一覧に含まれています。2つの機関の情報が互いに裏付けられ、この被害者の資金が今回の攻撃者に流れたことを確認できました。

入金から流出までの間隔は約10日です。攻撃者は鍵を入手してすぐに動かず、資産が入金されるのを待ってから抜き取っています。これはサプライチェーン攻撃に典型的な特徴です。

② 攻撃者のBTCアドレス：資金はまだ動いていない

• 3つのアドレスはいずれも「受け取るだけで送金していない」状態です。攻撃者はほとぼりが冷めるのを待ち、ミキサーやクロスチェーンで移動させる可能性があります。動きがあれば、取引所やセキュリティ機関が差し止めを試みる機会になります。
• 3アドレス合計で276件の入金があり、資金は1人の大口被害者ではなく、複数の被害者から集められたものと考えられます。

③ 攻撃者のETH・TRONアドレス

TRONアドレス上のUSDTはすでに元のアドレスにありません。Tetherによる一部凍結の報道と矛盾するものではなく、一部の資金が移動された可能性があります。行き先は引き続き追跡し、本記事の更新で補足します。

検証について：上記データはBitcoin、Ethereum、TRONの公開ブロックチェーンから取得したもので、誰でもブロックエクスプローラーで再確認できます。誤って攻撃者アドレスに送金することがないよう、アドレスは一部のみ表示しています。

3. 正規のハードウェアウォレットでも盗まれる理由

ハードウェアウォレットの安全性は、「シードフレーズは、あなたが初めて初期設定したときに端末自身が生成し、あなた以外の誰も見たことがない」という前提の上に成り立っています。

サプライチェーン攻撃は、まさにこの前提を崩します。端末が利用者に届く前に細工されていれば、攻撃者は利用者と同時に鍵を持つことになります。あとはアドレスを監視し、資産が入金されたタイミングで一括して抜き取るだけです。オンチェーンで確認された「入金から約10日後の流出」は、このパターンと一致します。

攻撃者が具体的にどの手口（端末の改ざん、事前生成されたシードフレーズ、偽造端末へのすり替え）を使ったのか、Ledgerはまだ結論を公表していません。ただし、どの手口であっても対策は同じです。端末の入手経路が信頼できること、そしてシードフレーズを自分で生成することです。

4. ハードウェアウォレット防犯ガイド

購入時：リスクの大半はこの段階で防げる

1. Ledger公式サイト、または公式サイトに掲載された正規販売店からのみ購入する。公式より安い、販売者が購入を急かす、といった場合は特に注意してください。
2. 中古品や、他人から譲られたハードウェアウォレットは使わない。手元に届くまでの経緯を確認できません。
3. 受け取り時にパッケージを確認する。ただし、パッケージが無傷でも端末が安全とは限りません。精巧な改ざんは見た目では分かりません。

初期設定時：細工された端末を見抜く

1. 記入済みのシードフレーズが同梱されていたら、改ざんされた端末と判断してください。正規品に、あらかじめ書かれた24単語が付属することはありません。
2. シードフレーズは必ず端末自身が生成し、端末の画面にのみ表示されるものを使う。Webサイト、アプリ、説明書が特定のシードフレーズの入力や使用を求めてきたら、すぐに操作を中止してください。
3. Ledger Wallet（旧Ledger Live）に接続し、正規品チェックを完了する。チェックに通らない端末は使用しないでください。
4. まず少額で送受信を試し、問題がないことを確認してから大きな金額を入れる。ただし、これだけでは「大口入金を待ってから盗む」攻撃は防げないため、上の3点がより重要です。

保管時：1台の端末に全資産を預けない

1. 大きな資産は複数のウォレットに分散する。できれば購入時期や購入経路が異なる端末を使ってください。
2. 高額資産にはマルチシグ（複数署名）ウォレットを検討する。複数の鍵の署名がないと送金できないため、1台に問題があっても資産が直接抜き取られることはありません。
3. アドレスの監視通知を設定する。多くのブロックエクスプローラーやウォレットツールで、残高変動の通知を受け取れます。

日常：二次被害の詐欺を見抜く

1. どんな理由であれ、シードフレーズを求めてくる相手は詐欺です。Ledgerのサポートを名乗る相手も例外ではありません。
2. 大きな事件の後には、「公式調査員」や「資金回収の専門家」を名乗る人物が被害者にDMを送り、前払いやシードフレーズを要求する手口が多発します。正規の機関がDMで費用を請求することはありません。

5. CryptoBilisで端末を購入した方へ

Ledger公式は、過去90日以内に同販売店から端末を購入した利用者に、次の対応を推奨しています。

• まだ初期設定していない場合：初期設定をせず、Ledger公式サポートに連絡してください。
• すでに初期設定した場合：すぐに公式サイトで新しい端末を購入し、新しいシードフレーズを生成して、すべての資産を移してください。古い端末と古いシードフレーズは今後使用しないでください。

すでに資産を盗まれた場合

1. 証拠を保存する。トランザクションハッシュ、ご自身のアドレス、購入証明、日時を記録してください。
2. 速やかに連絡する。Ledger公式サポート（support.ledger.com）、セキュリティ緊急対応組織SEAL 911（X：@SEAL_911）、そして最寄りの警察に届け出てください。
3. USDTなどのステーブルコインが含まれる場合は、とにかく早く。発行体はアドレスを凍結でき、資産が交換やクロスチェーン移動される前であれば、まだ可能性があります。
4. 取引所にも報告する。前述のとおり攻撃者のBTCはまだ動いていません。取引所が事前に攻撃者アドレスを把握すれば、差し止めの可能性が高まります。

6. recoinの見解

今回の事件は、暗号資産の安全性が「どのウォレットを使うか」だけでなく、「ウォレットをどこで入手し、どう初期設定し、どう保管するか」にも左右されることを改めて示しました。どれほど安全な端末でも、入手経路に問題があれば機能しません。

本記事のオンチェーンデータは、recoinチームが独自の分析手法で検証したものです。今後も本件を注視し、新たな資金移動があれば本記事を更新します。

recoinはオンチェーン分析の技術を有していますが、資金の追跡調査を外部向けサービスとしては提供していません。本件のように第三者へ送金された資産の回収には、取引所・ステーブルコイン発行体・捜査機関との連携が必要です。上記の窓口へのご連絡を優先してください。

recoinが承っているのは、ご自身のウォレットにアクセスできなくなった場合の復旧です。パスワードを忘れた、wallet.datが開けない、古いPCやHDDにウォレットが残っている、二重暗号化されている、パスワードの一部しか覚えていない、といったご相談に対応しています。該当するお悩みをお持ちの方、またはお知り合いにいらっしゃる方は、お気軽にお問い合わせください。

よくある質問

情報源

• Ledger Support（公式発表）
• CZ（@cz_binance）
• @tanuki42_
• MistTrack（SlowMist）
• @lookonchain（7M USDT）
• @lookonchain（80 BTC）

更新履歴

2026-10-10

初版公開。recoinによるオンチェーン検証データを掲載。