レジャーの過去のセキュリティ事件総まとめ：偽アプリで950万ドルが盗まれたことも、今日の盗難事件は最大規模

BlockBeats のニュース、10月9日、ハードウェアウォレットメーカーの Ledger が本日再びセキュリティ問題に直面し、第三者セキュリティ機関の推定によると今回の損失は約9000万ドルに上る。現在、公式は東南アジアの正規販売代理店 CryptoBilis が販売したデバイスに関連する資金損失を調査中で、同社に販売と出荷の停止を要請しており、過去90日以内にこのチャネルから購入したユーザーには慎重な操作または資産の移転を推奨している。事件の原因はまだ最終確認されていないが、サプライチェーン／デバイス改ざんのリスクが疑われている。

Ledger の歴史上、主な攻撃と資金損失に関連する事件を振り返る：

2018年：初期のハードウェアとサプライチェーン研究の脆弱性が集中して発生。セキュリティ研究者が Nano S の工場出荷前の改ざん可能性、および MCU ブートローダーのバイパス、分離脆弱性、Bitcoin のおつりアドレス注入などの問題を実証。Ledger は順次セキュリティ勧告を発表し修正、多くは研究レベルまたは物理的接触が必要なシナリオであった。

2020年：大規模な顧客データ漏洩。攻撃者が第三者 API キーおよび Shopify 関連の脆弱性を通じて EC とマーケティングのデータベースを取得し、100万以上のメールアドレスおよび約27.2万～29.2万人の顧客詳細記録（氏名、住所、電話番号など）が公開された。ハードウェアと秘密鍵は影響を受けなかったが、長期的なフィッシング、ソーシャルエンジニアリング、偽の公式書簡詐欺を直接引き起こした。

2023年12月：Ledger Connect Kit のサプライチェーン攻撃。元従業員がフィッシングに遭い NPMJS アカウントが乗っ取られ、攻撃者が悪意のあるバージョンの Connect Kit を公開し、このライブラリに依存する DApp に注入してユーザーに盗幣取引への署名を誘導した。アクティブウィンドウは約2時間以内で、損失は約48万～60万ドル規模。ハードウェアと Ledger Live 自体は直接攻撃されなかった。

2026年1月：第三者 Global-e の注文データ漏洩。決済・物流パートナーのシステムが不正アクセスを受け、一部の Ledger.com 注文関連情報（氏名、住所、連絡先など）が露出した。Ledger 自身のシステムと秘密鍵は影響を受けなかったが、再びフィッシングリスクを高めた。

2026年4月：App Store での偽 Ledger Live アプリ詐欺。模倣アプリが約1週間掲載され、ユーザーにニーモニックの入力を誘導し、50人以上の被害者が約950万ドルを失い、複数のチェーンにまたがった。Apple はその後削除し、Ledger は24語のニーモニックを決して要求しないと強調した。

2026年8月：イーサリアムアプリの署名関連の脆弱性（LSB-023 など）。コマンドの交错による表示と署名パラメータの非同期、Clear-signing バイパスなどの問題を含む。悪意のあるホストの協力が必要で、Ledger は実際のユーザーが悪用された証拠はないと述べ、新バージョンで修正済みである。

2026年10月9日（最新）：CryptoBilis販売代理店に関連する大規模なウォレット流出事件。推定損失額は約9,000万ドルに達し、Ledgerが調査中で、単一チャネルを標的としたサプライチェーン攻撃またはデバイス改ざん攻撃の疑いがある。公式は販売停止、ユーザーへの資産移行推奨などの措置を講じている。