ハードウェアウォレット大手のトレザー（Trezor）は30日、東南アジアの販売店クリプトビリス（CryptoBilis）が販売した「Trezor Safe 5」に、不正なハードウェアが組み込まれていたとの報告を受けたと公表した。同店で2026年3月以降に端末を購入し、資金を保管している利用者に対し、新しいリカバリーフレーズ（シードフレーズ）で作成したウォレットへ速やかに資金を移すよう呼びかけている。
報告は28日、同社の責任ある開示（レスポンシブル・ディスクロージャー）制度を通じてインドネシアの利用者から寄せられた。対象の端末は8月にクリプトビリスから購入されたもので、購入経路はインドネシアの通販サイト、トコペディア（Tokopedia）だった。トレザーはまだ現物を受け取っていない。写真の確認と報告者へのビデオ通話での聞き取りをもとに信頼できる報告と判断し、自社の検証を待たずに公表した。
報告によると、端末内部のメイン基板と画面の間に、携帯通信モジュールとアンテナを備えた追加の基板が取り付けられていた。画面に表示されるリカバリーフレーズを読み取り、端末を接続するたびにモバイル回線で外部へ送信する仕組みとされる。トレザーは自社では確認できていないとしたうえで、レジャー（Ledger）の端末で見つかったものと似た動作をするとみている。誰が関与したかは分かっておらず、調査中を理由に両事件の比較は控えた。レジャーなど調査を進める関係者とは連携しているという。
資金流出の報告は今のところない。報告者は不正な部品に気づく前に、すでに資金を別の場所へ移していた。端末の重さの違いがきっかけだったが、トレザーは重量で改ざんを判定する方法は信頼できないと説明。利用者が自分で端末を開けたり計量したりして確かめることはできないとして、該当する購入者には予防的な資金移動を求めている。
クリプトビリスをめぐっては、レジャーが10月9日、同店でハードウェアウォレットを購入した東南アジアの利用者に資金流出が相次いでいるとして調査を始めた。10日には被害者の端末の1台に不正なハードウェアが組み込まれていたことを確認している。流出額は、ブロックチェーン分析企業アーカム（Arkham）の29日時点の推計で約9,535万ドルにのぼる。レジャーは被害総額を確認していない。
クリプトビリスは当時トレザーの正規販売店でもあった。トレザーは同じ9日に同店を正規販売店から外し、以降、購入者の端末を調べている。今回の報告はSafe 5に関するものだが、同社はクリプトビリスで購入した全モデルを対象とし、トコペディア上の店舗を含め同店が供給した端末を扱う販売先も含めている。他の販売店に関する報告は受けていないという。
未設定の端末は使い始めず、既存のバックアップも入力しないよう求めた。改ざんされた端末で作成したバックアップを別の端末で使っても問題は解決しないとも注意している。安全なハードウェアウォレットが手元にない場合は、一時的にソフトウェアウォレットや取引所へ移す選択肢も示した。対象の購入者には新しい端末を直送するか、新しい端末の代金相当のバウチャーを提供する。
トレザーは今回の事件に便乗したメールや手紙、電話によるフィッシングにも警戒するよう求め、サポートがリカバリーフレーズを尋ねることはないと強調した。報告への対応では、仮想通貨のセキュリティ事故に対応する緊急窓口「SEAL 911」が同社と連携している。
