偽造Ledgerハードウェアウォレット4G情報窃取詐欺：オフライン端末に内蔵された通信モジュールがリモートでシードフレーズを盗取

誰が狙われるか

被害者層は主に暗号資産の初心者および中程度の資産保有者で、多くは直近の強気相場で利益を得てコールドストレージ方案を求めており、ハードウェアウォレットのセキュリティ原理への認識が不足している。心理的な弱点は、安さに飛びつくこと、大手プラットフォームのECによる信用保証を過度に信頼すること、コールドウォレットは絶対に安全という教条を過度に信奉し、サプライチェーンの物理改ざんリスクを軽視することにある。被害者は荷物を受け取り、電源を入れて初期化した瞬間に乗っ取られ、まだ多額の資産を移す前から、生成されたシードフレーズが内蔵ワイヤレスモジュールを通じて海外サーバーへ送信され、最終的に壊滅的な資産ゼロを迎える。

骗局怎么运作

• 低価格による誘引と店舗偽装：詐欺師は主要な越境ECまたは中古取引プラットフォームで、デジタルアクセサリや公式認定店を装った店舗を登録し、公式希望小売価格より2〜3割安い価格で改ざん版ハードウェアウォレットを販売する。商品説明ではバージョン情報を意図的に曖昧にし、即日発送と公式正規品保証を強調。消費者の安さを求める心理を利用し、公式直営チャネルの厳格な品質管理と供給元追跡を回避させる。
• ハードウェア改造とモジュール埋め込み：正規品のハードウェアウォレット外装を分解した後、攻撃者は小さな基板の隙間に微型通信モデムと予備バッテリーを埋め込み、アンテナを引き出してUSBインターフェース付近に隠す。改造過程で元の外観や起動時の操作感は損なわれず、一般ユーザーは肉眼で外観の違いを全く見分けられない。包装のシュリンクや防偽ラベルも精巧に複製されている。
• ファームウェア改ざんとバックドアの事前インストール：詐欺師は出荷前にデバイスへ改造ファームウェアを書き込み、システム初期化時のシードフレーズ生成段階で、事前設定した偽乱数生成器により制限された辞書から単語を抽出する。これによりユーザーのシードフレーズは画面上では正常に見える一方、バックエンドでは埋め込まれたロジックを通じて完全なシードフレーズ語彙が静かに記録され、その後の資産強奪の下準備となる。
• 隠密な外部送信とサンドボックス起動：デバイスが初期化を完了しシードフレーズを生成すると、埋め込まれた通信モジュールがバックグラウンドで自動的に起動し、事前設定された海外サーバーへ接続する。この外部送信プロセスはユーザーがPCやスマートフォンのBluetoothに接続する必要がなく、下層のセルラーネットワークを通じて暗号化データパケットを直接送信し、被害者のシードフレーズを平文または関連キーのハッシュ値として制御端末へ送り、窃取段階を完了する。
• ゆでガエルと精密な収穫：詐欺師はシードフレーズを入手後すぐに送金するのではなく、ブロックチェーンエクスプローラーでそのアドレスの残高を長期間監視する。被害者が多額の暗号資産をこのコールドウォレットに移し絶対安全だと思った時点で、攻撃者は適切なタイミングでそのシードフレーズを使って署名・送金し、資産をミキシングプールへ移して洗浄する。そのため被害者は事後に資金の流れを追跡することが極めて難しい。

红旗信号（看到这些快跑）

• 🚩 価格が公式希望小売価格を異常に下回り、特別ルートでの仕入れや税関押収品だと主張し、公式サイト経由の由来照会サービスも受け付けない。
• 🚩 包装のシュリンクがやや粗雑で、防偽ラベルのQRコードをスキャンすると公式サイト以外のURLへ転送される、または複数回照会済みである旨が表示される。
• 🚩 デバイス初期化時の初回起動で異常な微熱感があり、内蔵バッテリーが長期間未充電の状態でも問題なく起動する。
• 🚩 使用中または初期化段階で、外部デバイスを一切接続していないのに、遮光した場所で異常なインジケーターライトがかすかに点滅する。
• 🚩 ファームウェアのバージョン番号が公式サイトでの検証時に非公式リリース版と表示される、または初回使用時に一部のシステム検証手順をスキップするよう強制される。

真实案例

• HTXの報道によると、2026年、セキュリティ研究者が偽造Ledgerハードウェアウォレットの内部構造を分析し、通信モデムが秘密裏に埋め込まれていることを発見した。デバイスはホストに接続しなくても、被害者が有効化した際に生成されたシードフレーズを攻撃者が管理する海外サーバーへこっそり送信し、窃取プロセス全体が物理的に隔離された状態で隠密に完了する。（出典：https://www.anquanke.com/post/id/315945）
• 2026年7月、複数メディアがColdCardハードウェア署名デバイスに乱数生成器の脆弱性が存在すると報じた。報道によれば、この脆弱性により1755枚のビットコインが窃取され、当時の総額は約1億1000万ドル相当だった。被害が甚大だった理由は、ハードウェアが生成するシードフレーズに予測可能性があり、攻撃者にオフラインで推測されて関連資産を直接強奪されたことにある。（出典：https://www.anquanke.com/post/id/315945）
• Bitcoin Newsの公開報道によれば、ハードウェアウォレットメーカーTrezorは以前、物流サービス事業者が名義代行の浸透を受けたことで、13689名の暗号資産顧客が標的型フィッシング詐欺に遭った。ユーザーは一見正常な荷物を受け取った後、同封された偽の公式説明書に従って特定のリンクへアクセスしシードフレーズを入力してウォレットを復元するよう誘導され、不法分子に鍵を騙し取られ資産を空にされた。
• 2023年12月、ハードウェアウォレットメーカーLedgerは、同社のLedger Connect Kitコンポーネントがサプライチェーン汚染を受けたと公表した。攻撃者はAngel Drainer盗難スクリプトを含む悪意あるバージョンを公開し、DeFiユーザーに資産を移すトランザクションへの署名を誘導した。関連金額は約60万ドルで、多くのユーザー資産が2時間足らずの窃取ウィンドウ内で移転された。Ledgerはその後、影響を受けたコンポーネントを削除しインシデント報告を公開した。（出典：https://www.ledger.com/blog/security-incident-report）
• 2023年12月、セキュリティ会社SlowMistは追跡調査を公表し、Ledger Connect Kit 1.1.5～1.1.7バージョンを狙ったサプライチェーン攻撃が、同コンポーネントを使用するdAppにウォレット窃取スクリプトを注入したと明らかにした。報道によれば被害ユーザーは約68万ドル相当の暗号資産とNFTを失い、この事件はハードウェアウォレットエコシステムのソフトウェア層における典型的なサプライチェーン攻撃のサンプルとなった。（出典：https://www.bleepingcomputer.com/news/security/ledger-dapp-supply-chain-attack-steals-600k-from-crypto-wallets/）

当局の見解

• 2026年7月30日、ビットコインハードウェア署名デバイスブランドColdCardは公式セキュリティ警告を発し、ユーザーに対しシードフレーズ生成時に乱数生成器の安全性を必ず検証するよう呼びかけ、サプライチェーンの改ざん影響を受ける可能性のあるデバイスファームウェアの使用を避けるよう明確に警告した。
• 複数の暗号資産ハードウェアウォレットメーカーがフィッシングおよびサプライチェーン改ざんに関する警告を共同で発し、ユーザーに対し公式サイト経由でのみデバイスを購入すること、第三者ECプラットフォームが低価格を餌に販売する改ざん版ハードウェアデバイスに厳重に警戒すること、いかなるウェブページや信頼できない入力デバイス上でもシードフレーズを入力しないよう警告した。
• 2026年、Galaxy Researchはセキュリティ報告書を発表し、ハードウェアウォレットのサプライチェーンおよび脆弱性攻撃により、年間で合計4585のアドレスが資産損失を受け、総額約8860万ドルの損失が発生したと指摘し、業界に対しサプライチェーン監査の強化を呼びかけた。

防衛策

• ✅ デバイスの購入は必ずハードウェアウォレットメーカーの公式サイトから直接注文し、第三者ECプラットフォームや中古取引プラットフォームでいわゆる低価格の即納品や割引版を探すことは避ける。
• ✅ デバイスを受け取った後、ネット接続された機器に接続する前に、複数の防偽ラベルの比較、公式サイトでのシリアル番号照会、改ざん防止シールの完全性確認などにより基礎的な物理検査を行う。
• ✅ ハードウェアウォレットを初期化する際は、できる限りデバイス内蔵のサイコロ機能や外部の真の乱数源を使って手動でシードフレーズを生成し、ファームウェアに改ざんされた可能性のある内蔵偽乱数生成器を迂回する。
• ✅ 上記機能に対応しないハードウェアウォレットの場合、追加のパスフレーズ機構によってメインのシードフレーズにもう一層のパスワードをかけることができる。たとえシードフレーズが窃取されても、第二層のパスワードがなければ攻撃者は資産を直接動かせない。