2026年に6つのハードウェアウォレットブランドがセキュリティ問題を公表したが、資産が実際に流出したのは2件のみだった。最新事例であるLedgerでは、購入者の手元に届く前に改ざんが行われたデバイスが使われた。
ハードウェアウォレットは、暗号資産の制御に必要な24単語のリカバリーフレーズをインターネットから切り離して保存する。今年は、そのフレーズを取り巻くあらゆる部分が攻撃対象となった。
弱い鍵、レーザー、情報漏洩が2026年にウォレットメーカーを襲う
7月30日に、乱数生成が弱いColdcardウォレットの鍵を狙った窃盗被害が発生した。Galaxy Researchは後にColdcardの損失が1億1500万ドルを超えたと発表した。
Ledgerの社内セキュリティチームは、6月にTrezor Safe 7、7月にはTangemカードのチップをレーザーで破壊する実験を行った。この手法はいずれもデバイス実物と専門的なラボ設備が必要となる。
Trezorはユーザー資産は安全だと説明。Tangemは一般利用者へのリスクは「事実上存在しない」と強調し、実験した研究者は競合他社に所属していることを指摘した。
8月には、BitBoxが自社技術者から深刻と指摘された複数のファームウェア脆弱性を修正した。資産の盗難報告はなかった。
他の事例では秘密鍵でなく顧客情報が流出した。Trezorの配送業者からは1万3689人分の顧客データが漏えいし、SafePalの情報流出では約4万件の自宅住所が公開された。
「2026年はハードウェアウォレットのセキュリティにおいて最も波乱に満ちた年として記憶されるかもしれない」とWise Adviceは述べた。
Ledgerの改ざんウォレット、アジア以外でも報告
Ledgerは土曜日、被害者のデバイスに許可されていないハードウェア改ざんがあったことを確認した。日曜日の更新で、全ての確定事例がマレーシアの再販業者CryptoBilisの関与だとした。
オンチェーンの調査者によると損失総額は9000万ドル近いと推計されている。ある購入者はセットアップ数日後にビットコイン80枚を失った。Ledgerは確認済みの総額を明かしていない。
CryptoBilisはハードウェアウォレット販売を停止した。元共同創業者たちはLinkedInで、同社を3月に新しい経営陣へ譲渡したと明らかにした。
一方で、一部ユーザーは、公式欧州ストアで数週間前に購入したLedgerウォレットにも正規品にみられる配線がなかったと主張している。ただしLedgerはCryptoBilis以外での事例は確認していない。
ウォレットメーカーが購入者に推奨する対応
Ledgerは購入者に対し、Ledgerまたは正規販売店からのみ購入するよう指示。CryptoBilisの顧客には未使用デバイスをセットアップせず、資産を新たなリカバリーフレーズに移すよう呼びかけている。
LedgerのGenuine Check機能はデバイスのセキュリティチップが正規品かどうかを検証できるが、チップ以外の物理的な改変は検出できないと説明した。
BitBoxはユーザーにアップデートの実施と、復元フレーズ入力は端末本体上でのみ行うよう呼びかけている。Trezorはフィッシングが依然として最大の日常的リスクであるとする。
Ledgerは他のウォレットメーカーにも、改ざん防止と流通管理に関する業界標準の策定を提案している。
では、2026年に安全なハードウェアウォレットは存在するか。 完全に安全ではない。研究所の外でセキュリティチップ自体が突破された事例はなかったが、ColdcardとLedgerのユーザーは弱い鍵や改ざんデバイスで資産を失った。
