仮想通貨取引所マウントゴックス（Mt.Gox）の元CEO、マルク・カルプレス（Mark Karpelès）氏は11日、Amazon Japanで購入したハードウェアウォレットに不正な装置が組み込まれていたとXで明らかにした。端末は仏レジャー（Ledger）の「Nano X」だ。
投稿は、クリプトビリス経由の端末だと考えたユーザーから、端末を開けた理由を尋ねられての返信だった。カルプレス氏は、あるプロジェクトで複数台のNano Xが必要になり、Amazon Japanで安く売られている出品を見つけたと説明。怪しいと感じながらも購入したところ、届いた端末は「完璧に見えた」ものの、内部に装置が入っていたという。購入価格や販売者名は示していない。
装置の中身について、同氏は研究ページとXの投稿で、LTE通信モジュールとアンテナ、eSIM、マイコンで構成されると説明している。マイコンは画面へ表示データを送る配線（SPIバス）につながり、表示された文字を読み取って、設定中の復元フレーズを外部へ送信するという。
復元フレーズ（リカバリーフレーズ、シードフレーズ）は、ウォレットを別の端末で復元するための24個の単語を指す。ハードウェアウォレットは秘密鍵をインターネットから切り離して保管するための機器だが、初期設定時には画面にこの単語が表示される。装置はその瞬間を狙う仕組みで、攻撃者は端末本体を盗まなくても資産を移せる。
同氏がTibane Labsのサイトで公開した研究ページによると、同ラボは9月に装置入りのNano Xを2台入手した。Yahoo!オークションで購入した1台は、純正バッテリーを小型品に交換して装置の空間を確保していた。
Amazon Japanで中国を拠点とする販売者から購入し、マレーシアから発送された1台はより新しい型で、純正バッテリーを残したまま、画面裏の緩衝材を取り除いた空間に装置を収めていた。
また、カルプレス氏は11日、レジャーに保証規定の文言を見直すよう提案した。同社のサポートページは、開封や点検の過程で生じた損傷は保証を無効にすると定めている。同氏の案は、損傷そのものを保証の対象外とする表現に改めるもので、開封時の損傷は補償から外しつつ、保証自体は維持する形になる。
レジャーは9日（現地時間）、東南アジアの販売店クリプトビリス（CryptoBilis）から端末を購入したユーザーが資金を失ったとの報告を受け、調査を始めたと発表した。10日（現地時間）には被害ユーザーの端末1台に不正なハードウェアが入っていたことを確認した。
11日の更新では、確認済みの被害はすべてクリプトビリス経由の端末だとした。同社は、自社のセキュリティ基盤やシステム、サービスが侵害された形跡はないとしている。
流出額について、ブロックチェーン分析のBitqueryは12日までに、6つのチェーンの324ウォレットから約1億200万ドルが流出したと集計した。レジャーは第三者の推計を完全には検証していないとしている。
カルプレス氏は、自身の端末に入っていた装置を一連の不正装置の一つと表現したが、クリプトビリスの事件との関係には触れていない。
日本で流通した端末と東南アジアの被害が同じ装置によるものかどうか、レジャーは明らかにしていない。同社は13日、他の端末や地域での不正装置の報告も調べているとした。
レジャーは過去90日以内にクリプトビリスで購入した利用者に対し、未使用の端末をセットアップしないよう呼びかけ、設定済みの場合は新しいレジャー端末と新しい復元フレーズへ資産を移すよう勧めている。同社の正規品確認機能「Genuine Check」は、セキュアエレメント（鍵を保管する専用チップ）が純正のままであれば、追加された装置を検出できないという。
ハードウェアウォレットを物理的に改ざんし、復元フレーズを盗む手口はこれまでも報告されている。
ハードウェアハッカーのジョー・グランド（Joe Grand）氏は、タイのオンラインマーケットで販売された中古のNano Xから、追加の基板とアンテナを見つけたと2026年のセキュリティカンファレンス「Hardwear.io」で報告した。画面へのSPIバスを監視して復元フレーズを読み取り、LTEで送信する仕組みで、今回カルプレス氏が説明した装置と同様の構成だ。
セキュリティ企業カスペルスキー（Kaspersky）は2023年、ロシア国内で流通していたTrezor Model Tの偽造品を分析した結果を公表した。マイコンが別のチップに交換され、あらかじめ用意された20通りの復元フレーズのいずれかを生成するよう改変されていた。外見は正規品とほぼ同じで、封印シールも付いていたという。
レジャーでは2020年に自社ECサイトの顧客情報が流出し、その後、流出した住所宛てに改ざんされた「交換品」の端末が送り付けられる事例も報告された。
