Trezor Safe 5内部への不正デバイス埋め込み疑惑を受け、正規代理店CryptoBilisでの購入者に資金移動と警戒を要求

画面情報を盗聴するモバイル通信モジュールの全貌

暗号資産のハードウェアウォレット大手Trezor社は、同社の最新モデルTrezor Safe 5の内部に不正な通信デバイスが仕込まれていたとの報告を受け、セキュリティ警告を発令した。

CryptoBilis update We’ve been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from CryptoBilis from March 2026 onwards, we know this is unsettling. Here’s what to do: Already using it? Move your funds to a newly created wallet with a new seed as soon as possible. Do not reuse the old seed in any wallet, hardware or software. If you don’t have another secure hardware wallet available, we recommend temporarily migrating your funds to a software wallet or an exchange you are familiar with. Not set up yet? Don’t set it up, and never enter your existing wallet backup on it. We haven’t received the device to confirm this report, but based on the customer’s description, we’re treating it as credible and sharing it now so customers who purchased a Trezor via CryptoBilis can secure their funds as a precaution. Our security team will examine the device as soon as it arrives. On October 9, 2026, we removed CryptoBilis as a reseller following reports of tampered Ledger devices sold through it. Since then, we have been inspecting Trezor devices that customers bought from CryptoBilis and have found no signs of tampering on any of the four devices we’ve received so far. NEVER share your wallet backup (recovery phrase) with anyone. Trezor Support will never ask for it. If you are affected by this incident, please keep your CryptoBilis device and contact Support to receive a new Trezor hardware wallet: https://t.co/5EasOVDDQh We’re investigating and will post updates here as soon as we know more. Thank you to the customer who reported this through our responsible disclosure program, and to @SEAL_911 for working alongside our teams on the response. Reports and engagement like this help us protect everyone else. For more information, visit our blog: https://t.co/2LmFV8L2oe

— Trezor (@Trezor) October 30, 2026

現時点で実被害は確認されていないものの、同社は東南アジアの正規販売代理店CryptoBilis（クリプトビリス）を通じて購入したユーザーに対し、直ちに資金を安全な場所へ退避させるよう呼びかけている。問題の報告は2026年10月28日（水曜日）、Trezorの脆弱性報告プログラムResponsible Disclosure Program（レスポンシブル・ディスクロージャー・プログラム）を通じてインドネシアの顧客から寄せられた。この顧客は同年8月、同国のECプラットフォームTokopedia（トコペディア）に出店していたCryptoBilisから Safe 5 を購入したという。

報告によると、デバイスのメイン基板とディスプレイの隙間に、本来の設計には存在しない追加の回路基板が物理的に割り込まされていた。この不正な基板にはセルラー（モバイル通信）モジュールとアンテナが搭載されており、画面上に表示されるバックアップ情報やリカバリーフレーズ（復元フレーズ）を直接読み取れる構造になっていた。デバイスが電源に接続された際、通信キャリアのネットワークを通じて暗号化を介さず外部の攻撃者へデータを即座に転送する仕組みとみられている。

暗号技術そのものを解読することなく、物理的な画面情報の盗聴によってセキュリティの前提を崩壊させる極めて巧妙な攻撃手法だ。

他社製品にも波及するサプライチェーン攻撃の実態

今回のトラブルは、Trezor単体に留まらない根深いサプライチェーン問題を浮き彫りにしている。

競合メーカーであるLedger（レジャー）社も10月初旬、CryptoBilis経由で販売された自社製品に、セットアップ時の24単語のフレーズをLTE通信で送信する不正ハードウェア（インプラント）が組み込まれていたことを確認していた。

Chainalysis（チェイナリシス）等の分析によると、同系の改ざんデバイスにより他社製品ではすでに60 BTC（約480万ドル相当）を超える巨額の流出被害が発生しているとされる。Trezor側は、自社製品における改ざんがどの流通段階で行われたのか、また一連の改ざんが同一犯によるものなのか特定を進めている。

なお同社は、Ledgerでの問題発覚直後である10月9日時点でCryptoBilisとの代理店契約を解除しており、従来頼ってきたパッケージの封印シールや外装フィルムといった保護構造だけでは、巧妙化する物理改ざんを防ぎきれない現状を認めている。

対象ユーザーが直ちにとるべき防御措置

Trezor社は2026年3月以降にCryptoBilisを通じてウォレットを購入したすべてのユーザーに対し、以下の対応を求めている。

資金の完全移動：
すでに初期化・使用中の場合、全く新しいリカバリーフレーズを別環境で生成し、新規ウォレットへ暗号資産を即座に全額退避させる。既存のシードフレーズを別の安全なハードウェアに復元するだけでは、すでにフレーズ自体が漏洩している可能性があるためリスク解決にならない。
未セットアップ端末の放置：
未開封またはセットアップ前の場合、絶対に電源を入れず、初期設定やシードフレーズの入力を取りやめる。
公式サポートへの連絡：
該当端末の保持者は、Trezor公式サポートへ連絡することで代替デバイスの受領や返金バウチャーの請求が可能。

同社は「現物の検証完了を待っていては被害が広がる懸念がある」として迅速な注意喚起に踏み切った。あわせて、重量測定などで個体の改ざんを見破ることは困難であるとし、混乱に乗じたフィッシング詐欺にも十分注意するよう警戒を促している。