この記事の要点
- 元Mt.Gox CEO、Ledgerの警告対応を批判
- 不正チップで約147億円流出、欧州も販売停止
事前警告を軽視か、Ledgerの対応に批判
Mt.Gox（マウントゴックス）元CEOのマルク・カルプレス氏は2026年10月17日、仮想通貨ハードウェアウォレット大手Ledger（レジャー）が不正チップに関する事前警告を受けながら、利用者への十分な注意喚起を行わなかったとして、同社の対応を批判しました。
カルプレス氏によると、Ledgerは2025年末から改ざんデバイスに関する複数の報告を受け、2026年3月には高度な不正チップの存在も把握していたものの、10月には大規模な仮想通貨の資金流出が発覚しました。
同氏は、こうした事前報告を受けた段階で適切な措置を講じるべきだったと主張するとともに、被害発覚後も問題を過小評価しているとして、Ledgerの情報開示姿勢に疑問を呈しています。
また、自身がMt.Goxの経営で失敗した経験にも言及し、Ledgerにはその教訓から学び、セキュリティと情報開示の両面でより高い水準を維持してほしかったと述べています。
I’m not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced self-aligning implant.
As a security company I have no doubt everyone at Ledger understands what that means: someone is serious about attacking the product. This is a five-alarm fire in the making and without an immediate and appropriate response it could turn into something really bad.
So there was a response, but I doubt anyone will find it reasonably appropriate. It does one thing however: it documents Ledger knew about this advanced type of implant in March – the picture is on your site.
And if you really think I have no standing talking about this because of MtGox let me add this. I was hoping you guys were better than that. I’ve been holding Ledger at a higher standard than what happened at MtGox, because I trusted you to do better by learning of my failure – to be better than me. And I’m pretty sure everyone in the industry, especially your customers, have been considering Ledger to be at the very top of the industry in terms of security and disclosure policies and trusting you accordingly.
Now I am not sure what to think, not only because of the lack of communication at the time but also because of the continuing downplaying of this incident. I did notice some positive, such as better involvement of the Ledger X account, but also I’ve seen a lot of people complain they are not receiving responses and you keep calling this the CryptoBilis incident despite similar implants surfacing at other locations (there might be a good reason for that, but a end user doesn’t know that, and shouldn’t have to worry if their device is altered or not).— Mark Karpelès (@MagicalTux) October 17, 2026
2026年初めには、すでに不正な部品が埋め込まれたLedger端末について、複数の報告が寄せられていました。そして3月には、Joe Grand氏が発見した手作りの不正部品（即席のLTEアンテナが取り付けられたもの）と、専用の設備で大量生産されたとみられる、端末に正確に取り付けられるタイプの不正部品を紹介する記事を公開しています。
セキュリティ企業であるLedgerなら、こうした事実が何を意味するのか、十分に分かっているはずです。誰かが本気でLedger製品を狙っているということです。これは、早急かつ適切に対応しなければ、深刻な事態に発展しかねない問題です。（後略）
Ledger不正改造、欧州でも発見
カルプレス氏が指摘するLedger対応の遅れ
2025年末から複数の改ざん報告
カルプレス氏がコインテレグラフの取材で説明したところによると、Ledgerには2025年12月以降、少なくとも2人から改ざんデバイスに関する報告が寄せられていました。
報告者の1人であるベトナムの仮想通貨教育者Tai Zen氏は2025年12月に不正なインプラントの疑いを伝え、2026年3月4日にはセキュリティ研究者のジョー・グランド氏も、タイで購入されたLedger Nano Xから悪意ある部品を発見したと同社へ報告したといいます。
カルプレス氏は、3月の時点でLedgerが手作業で組み立てられた初期型だけでなく、量産を想定した高度なインプラントの存在も把握していたと指摘しています。
グランド氏の報告に対してLedgerは内部調査を行うと回答したものの、利用者への積極的な注意喚起は実施せず、カルプレス氏も当時の報告を受けた公的な警告は確認できなかったと述べました。
改ざんデバイスで約147億円流出
事前警告から数カ月が経過した2026年10月9日、東南アジアの正規販売業者CryptoBilis（クリプトビリス）を通じて購入されたLedger製デバイスから仮想通貨が流出したとの報告が相次ぎ、同社は調査を開始するとともに、販売・出荷の一時停止を要請しました。
翌10月10日にはLedgerが被害端末の少なくとも1台から不正なハードウェアインプラントを確認したと発表しています。
10月13日には同社のセキュリティ研究チーム「Donjon」が詳細な調査結果を公表しました。
発表によると、インプラントは端末のセットアップ時に表示される24単語のリカバリーフレーズを読み取り、内蔵のeSIMを使ってLTE通信経由で攻撃者へ送信するもので、セキュアエレメントを侵害せずに秘密情報を盗み取る仕組みとなっています。
被害規模については、ブロックチェーン分析企業Bitqueryが5つのブロックチェーンで計311ウォレット、約9,290万ドル（約147億円）の資金流出を推計しているものの、Ledgerは第三者による数値を十分に検証できていないとして、被害総額の確定には慎重な姿勢を示しています。
改ざん被害がシンガポール・欧州にも拡大
クリプトビリス経由の資金流出が発覚した後、他の販売経路でも類似したインプラントが見つかり、カルプレス氏は10月13日、シンガポールのチャンギ空港で購入されたLedger Flexからスパイ用インプラントを発見したと報告しました。
欧州でもドイツの家電量販店MediaMarktで購入された端末に改ざんの疑いが浮上し、運営会社MediaMarktSaturnは10月13日、予防措置としてLedger製品の販売を一時停止しています。
クリプトビリス以外の販売経路でも改ざん報告が相次ぐなか、カルプレス氏はLedgerが問題を「クリプトビリス事件」と呼び続けている点に疑問を呈し、特定の販売業者に限定された問題という印象を与えかねないと指摘しました。
情報発信には一部改善が見られると評価する一方、カルプレス氏は問い合わせへの返答がないという利用者の不満にも言及し、購入者が自身の端末の安全性を判断するために必要な情報が十分に提供されていないと訴えています。
Ledger事件の最大被害者は詐欺師
Trezor・OneKeyも対策、業界全体に波及
Ledgerは10月15日に公表した公式声明で、攻撃者が正規の端末を改造して販売経路へ戻したと説明し、セキュアエレメントやOS、サーバーへの侵害は確認されなかったと発表しました。
流通過程での改ざんを防ぐため、同社は東南アジアと香港の認定販売業者・流通業者に販売停止を要請し、返品された端末の再販売禁止や店頭展示の制限など、販売経路の管理を厳格化しています。
同様のリスクを警戒する競合各社も対策に乗り出し、Trezorはクリプトビリスの認定取り消しと販売代理店網の縮小を決定したほか、OneKeyも同業者の認定を取り消し、対象購入者への無料交換と既存販売網の再審査を発表しました。
Ledgerを含む各社が販売経路の管理を見直す一方、カルプレス氏が問題視した事前警告への対応については、Ledgerの10月15日の公式声明でも当時の判断に関する詳しい説明がなく、情報開示をめぐる疑問が残されています。
※価格は執筆時点でのレート換算（1ドル=157.75 円）
関連の注目記事はこちら
Source：マルク・カルプレス氏X投稿
サムネイル：AIによる生成画像
コメント