Trezorの顧客住所が流出したというニュースを見て、真っ先に思い出したのが「レンチアタック」でした。
8月13日、ハードウェアウォレット大手のTrezorは、配送事業者への不正アクセスによって顧客情報が流出したと発表しました。11,742人について氏名、メールアドレス、電話番号、配送先住所が流出し、別の1,947人も氏名、市区町村、メールアドレスが影響を受けています。Trezorのシステムやデバイス、秘密鍵は侵害されていません。
ハードウェアウォレットで秘密鍵を守っていても、それだけでは防げない攻撃があります。暗号資産を持つ本人を脅し、 ウォレットを開かせたり送金させたりする「レンチアタック」です。 実際に世界各地で被害が出ており、日本も例外ではありません。
暗号を破らず、持ち主を狙う
レンチアタックという言葉の元になったのは、Web漫画「xkcd」の「Security」です。どれだけ強い暗号を使っていても、 高価なコンピューターで解読するより、5ドルのレンチで本人を脅してパスワードを聞き出した方が早い。 ここから「5ドルレンチ攻撃」という呼び方が広まりました。
暗号資産では、この発想に近い犯罪が現実に起きています。Chainalysisによると、2025年に暴力を伴う暗号資産窃盗で奪われた金額は5,800万ドル。2026年も6月下旬までに46件が確認され、被害額は3,000万ドルを超えました。住居侵入型は2025年の14％から2026年には37％まで増えています。
秘密鍵を抜き取れなくても、本人にPINを入力させて送金させれば暗号資産は動きます。ウォレットのセキュリティを破る代わりに、そのウォレットを操作できる人を押さえるわけです。
実際に起きたレンチアタック
3週間監禁し、Bitcoinのパスワードを要求
2025年5月、ニューヨークのSoHoでは、男性が約3週間監禁され、Bitcoinのパスワードを要求されたと検察が主張しています。拒否した男性は電気ショックや暴行を受け、家族への危害もほのめかされたとされています。男性は最終的に、暗号資産を送るための端末を取りに行くと装って外へ出た際に逃げました。その後、被告2人は無罪を主張しています。
家族を人質に、3時間先のウォレットまで移動
2025年9月、米ミネソタ州では武装した男2人が暗号資産保有者の自宅に入り、本人と妻、成人した息子を拘束しました。本人に暗号資産を送金させた後、約3時間離れた家族の山小屋にもハードウェア型のウォレットがあることを知ると、妻と息子を人質に残したまま本人をそこまで連れて行き、残りの資産も送金させています。米司法省の発表では、被害額は800万ドルでした。
配達員を装って暗号資産保有者の自宅へ
2026年5月に米司法省が起訴を発表した事件では、犯行グループが配達員を装って暗号資産保有者の自宅へ入り、銃や結束バンドなどを使って被害者を拘束したとされています。ある事件では被害者に銃を突きつけて暗号資産口座へログインさせ、約650万ドルを犯人側のウォレットへ移したと起訴状に記載されています。
これらの事件と今回のTrezorの情報流出には直接の関係はありません 。ただ、3件目では「暗号資産保有者の自宅」が最初から犯行場所として選ばれていました。今回流出した配送先住所も、 少なくとも「その住所にハードウェアウォレットを購入した人がいる」という情報を含んでいます。
日本でも被害は出ている
2025年6月、名古屋市西区では当時32歳の女性が車内に監禁され、「今からお前を海に沈めに行く」などと脅されたうえ、首を絞めるなどの暴行を受け、携帯電話のアプリから約1,500万円相当の暗号資産を送信させられたとされています。事件では4人が逮捕され、2026年7月29日には実行役とみられる別の男も新たに逮捕されました。
さらに2022年6月には、大阪市内のパーソナルジムにいた当時31歳の男性が暴行を受け、車で連れ去られる事件が起きています。
大阪地裁の判決によると、男性は滋賀県の簡易宿所で顔を殴られ、スタンガンを当てられたうえ、「しゃべらないと殺す」「お前の親父の住所も分かってんだよ」などと脅され、暗号資産取引所のログインパスワードなど送金に必要な情報を聞き出されました。その後も奈良、京都と場所を変えながら6月30日まで監禁が続きました。
判決では、犯行グループが事前に男性の日頃の行動パターンや家族構成を調べ、レンタカーや監禁場所まで準備していたことも認定されています。偶然その場にいた暗号資産保有者が狙われた事件ではありません。
暗号資産を持っていると知られ、本人や家族の居場所を調べられ、暴力で送金に必要な情報を聞き出す犯罪は、日本でもすでに起きています。
住所だけでは資産は盗めない
Trezorを買った人の住所が漏れたからといって、それだけで暗号資産を盗めるわけではありません。Trezorを持っている人が大口保有者とも限りません。
攻撃者が標的を選ぶ材料は住所だけではありません。 Chainalysisは2026年のレンチアタックについて、SNSでの発信、実名と結びついたオンチェーン活動、流出した個人情報、内部からの情報提供などが使われていると分析しています。 多くの事件は事前に標的を選んだうえで実行されていました。
フランスでは2024年、暗号資産の大口保有者について氏名、住所、保有額、電話番号、税務情報などを含む資料が盗まれ、 犯罪仲介者へ販売された疑いも報告されています 。同国で公開情報から確認されたレンチアタックは2025年の19件から、2026年は年央までに30件へ増えました。Chainalysisは、この情報流出が事件増加の一因になった可能性を指摘しています。
住所、実名、保有額、ウォレットアドレス、SNSでの発信。単独では資産を動かせない情報でも、つながれば「誰を狙うか」を決める材料になります。
レンチアタックから身を守る
最初に減らせるのは、暗号資産の保有状況と実生活を結びつける情報です。Chainalysisも、保有額を公にしないことや、 実名とオンチェーン活動を不用意に結びつけないこと を対策として挙げています。
資産の置き方も変えられます。日常利用分と長期保管分を分け、一人と一台を押さえれば全額をすぐ動かせる状態を避ける。複数の鍵が揃わなければ送金できないマルチシグも選択肢になります。ただし、保管方法を複雑にするほど鍵の紛失や相続時の管理は難しくなるため、資産額や使い方とのバランスは必要です。
Trezorも今回、実名や自宅住所と購入を直接結びつけにくくする「Anonymous Delivery」の導入を進めています。EUでは9月の提供開始を目指しており、Trezor自身が配送時の個人情報までハードウェアウォレットのセキュリティとして扱い始めています。
体を鍛えれば防げるのか？というと、そうでもないと思います。 事件の傾向を見てると、突然複数人で襲い掛かるようなケースが挙げられており、よほどの武術の達人でも厳しいのではないでしょうか。
秘密鍵を守った、その先
今回のTrezorの情報流出で暗号資産が盗まれたわけではありません。秘密鍵やシードフレーズも漏れておらず、流出した住所を使ったレンチアタックが起きた事実も確認されていません。
一方で、3週間監禁してBitcoinのパスワードを要求する事件があり、家族を人質にして3時間離れたウォレットまで本人を連れて行く事件があり、日本でも暴力で暗号資産の送金を迫る事件が起きています。
秘密鍵をオンラインから切り離す技術がどれだけ強くなっても、その鍵を使える人間は現実世界にいます。
ハードウェアウォレットを見るときに、チップや秘密鍵の保管方式だけを比べれば済む時代ではなくなってきました。誰がそのウォレットを持っていると知られているのか、購入時の住所がどれだけ残るのか、一人の操作だけでどこまで資産を動かせるのか。
Trezorが「Anonymous Delivery」まで用意し始めた2026年、配送先住所もウォレットのセキュリティと切り離せない情報になっています。
※本記事は、公開情報をもとに暗号資産・ブロックチェーン関連ニュースを整理した一般的な情報提供であり、特定の暗号資産の売買を推奨するものではありません。
参考文献
-
Trezor, “ Recent customer data exposed in shipping provider incident ”, August 13, 2026.
-
Chainalysis, “ Estimated $30 Million Stolen in Violent Crypto Attacks in 2026 as France Records Emerges as Hotspot ”, August 6, 2026.
-
xkcd, “ Security ”, Comic #538.
-
Reuters, “ Man charged in New York with 3-week kidnapping to try to steal Bitcoin ”, May 29, 2025.
-
Reuters, “ Men plead not guilty in NY to kidnapping, setting friend on fire with tequila for crypto ”, June 11, 2025.
-
U.S. Department of Justice, District of Minnesota, “ Brothers Charged in $8 Million Armed Crypto-Kidnapping Heist ”, September 25, 2025.
-
U.S. Department of Justice, Northern District of California, “ Three Tennessee Men Indicted On Robbery, Kidnapping, And Conspiracy Charges Related To $6 Million Cryptocurrency Robbery Spree Throughout Bay Area And Los Angeles ”, May 11, 2026.
-
Livedoor News, “ 女性を監禁・暴行→1500万円相当の暗号資産を送らせたか 実行役とみられる男を新たに逮捕 ”, July 29, 2026.
-
京都地方裁判所第2刑事部, “ 令和5年（わ）第153号 営利略取、強盗致傷、監禁、住居侵入、窃盗被告事件 判決 ”, July 9, 2024.
