ledger

安全研究者 @cyberscrilla は、ユーザーに 24 語のリカバリーフレーズを漏洩させることを目的とした偽の Ledger ウェブサイトとアプリが Google 検索結果の上位に表示されていることを発見しました。報告によると、Google のデータではこのウェブサイトの過去 30 日間の訪問者数が 100 万回を超えています。以前、サイバーセキュリティ会社 Zscaler は 9 月の調査で、悪意のある Google 広告が Ledger を偽装し、ユーザーを偽のウォレット検証ページにリダイレクトしていることを発見しました。現在、Ledger は東南アジアのディストリビューター CryptoBilis の顧客に関与する疑わしいウォレット盗難事件を調査中で、関与する金額は推定 8600 万ドルです。

Tangemの共同創設者Andrey LazutkinがXに投稿し、最近のLedgerのセキュリティ事件が再び「複雑性が攻撃面を拡大する」というセキュリティエンジニアリングの原則を証明したと述べました。彼は、画面、ボタン、バッテリー、ファームウェアなどの各追加コンポーネント、ソフトウェア層、ユーザーインタラクションが新たな潜在的な故障点や脆弱性を引き起こし、特定し緩和する必要があるリスクを増加させることを指摘しました。Lazutkinはこれに基づいてTangemが採用している極めてシンプルなカード型デザインを擁護しました――このアプローチは安全チップとアンテナの周りだけで構築されており、今回の事件がそのデザイン理念の正しさに対する判断を強化したと述べています。

XRP Ledger は最近、2015 年に遡る可能性のある支払いシステムの脆弱性を修正しました。この脆弱性により、攻撃者は特別に設計された支払い取引を通じて、システムのトークン交換額の計算制限を回避し、大量の XRP を無から生成して消費することができ、XRP の総供給上限である 1000 億枚のメカニズムを破壊する可能性があります。報告によると、攻撃者は数百のアカウントを作成し、これらのアカウントが少量のトークンで巨額の XRP を交換するオファーを出し、同時に一つの支払いで取引を成立させることができました。ソフトウェアの取引総額の計算に欠陥があるため、売り手アカウントは完全な XRP を受け取り、買い手アカウントはほとんど相応の金額を支払う必要がありませんでした。研究者の Cayden Liao と Veria AI は 9 月 22 日にこの脆弱性を報告し、RippleX はその後攻撃を再現し、生成された XRP が後続の取引で使用できることを確認しました。RippleX は、現在この脆弱性が公開ネットワークで悪用された証拠はないと述べています。開発チームは 9 月 25 日に xrpld 3.4.1 バージョンをリリースして脆弱性を修正しました。

ハードウェアウォレットのディストリビューターである CryptoBilis は、Ledger が東南アジアのユーザーに関する資金損失事件を調査しているため、すべての Ledger デバイスの販売と出荷を一時停止したと通知しました。また、Ledger の調査に協力しています。Ledger は以前、ディストリビューターから製品を購入した東南アジアのユーザーから報告された資金損失を調査していると述べており、予防措置として CryptoBilis に関連デバイスの販売と出荷を一時停止するよう求め、過去 90 日以内にそのデバイスを購入したユーザーには、まだ初期設定を完了していない場合は設定を行わないように推奨しています。CryptoBilis は、設定を完了したユーザーに対し、Ledger の推奨に従って資産を新しい助記詞で生成された新しい Ledger サインデバイスに移動するように警告しています。助記詞はデバイスが初期化時に自動生成し、ユーザーが手書きで書き写す必要があることを強調しています。デバイスに印刷されたまたは書かれた助記詞カードや紙が付属している場合、または助記詞が他の人に見られた場合、そのウォレットは安全ではないと見なすべきであり、助記詞や PIN コードを他の誰にも開示しないようにしてください。通知は、損失資金の回収を支援すると主張する第三者に注意するよう警告しており、そのような提案は多くの場合詐欺です。すでに資金損失が発生したユーザーに対して、CryptoBilis は公式カスタマーサービスチャネルを通じて連絡することを推奨し、注文番号、購入日時と場所、デバイスのシリアル番号、影響を受けたウォレットアドレスおよび取引 ID を提供するように求めています。また、デバイスとパッケージを保持し、リセットや廃棄をしないようにし、警察に報告することを推奨しています。同社は、ユーザーにウォレットを接続するよう求めたり、助記詞を入力したり、ソフトウェアをインストールするためのリンクを送信することはないと述べています。

慢雾安全の最高情報セキュリティ責任者23pdsは、LedgerデバイスのPCBがMt. Goxの前CEOマーク・カルペレスが説明した方法で改造されている場合、攻撃者は相当な技術レベルを持つことになると述べています。23pdsによれば、可能な攻撃の流れは、ウォレットがセキュリティチップ内で助記詞を生成し、ユーザーがメモするために画面に表示することから始まります。悪意のあるモジュールはSPIなどの画面データラインを通じて表示内容を取得し、完全な助記詞を記録した後、LTE/eSIMを介してデータを攻撃者に送信します。セキュリティチップは秘密鍵が直接読み取られたりエクスポートされたりするのを防ぐことができますが、外部モジュールが画面に表示されている情報を取得するのを防ぐことはできません。彼は、上記の分析はPCBが実際に述べられた方法で改造されているという前提に基づいており、関連する攻撃経路やハードウェアの埋め込み状況はまだ独立して検証される必要があると述べています。マーク・カルペレスは以前、彼が受け取ったLedgerハードウェアウォレットがスパイモジュールを埋め込まれている疑いがあると発表しました。デバイスはマレーシアから来ており、外装の収縮フィルムは無傷で、埋め込まれたものは画面本来のクッションパッドの位置に隠されており、LTE通信コンポーネント、アンテナ、eSIM、およびLedger SPIバスに接続されたマイクロコントローラーが含まれています。これにより、デバイスがユーザーに表示する文字を分析し、助記詞の設定が完了した後に関連データを送信します。

マレーシアのハードウェアウォレットディストリビューターCryptoBilisは、Ledgerデバイスがサプライチェーン攻撃に遭った疑いの調査中に、所有権が変更されたことが明らかになりました。新たに公開された会社の記録によると、中国の黒竜江省に登録住所を持つJiamingという人物が、8月3日からこの会社の100%の株式を保有しています。CryptoBilisの元共同創設者は、会社が今年の3月に買収され、元株主はその後、すべての運営、管理、行政職務から退いたことを確認しました。創設チームは引き継ぎ後、会社の実際の運営を把握できなくなり、一部の活動の調整を続けるだけで、もはや会社の一部ではないと述べ、現管理層に対してこの問題を透明に処理するよう促しています。株式の変更が明らかになる中、CryptoBilisはLedgerハードウェアウォレットのサプライチェーン攻撃に関与している疑いで注目を集めており、関連するデバイスには助記詞を盗む隠しモジュールが埋め込まれているとされていますが、所有権の変更とウォレットの盗難事件との関連を示す確固たる証拠はまだありません。CryptoBilisは、マレーシア、フィリピン、インドネシアのすべての店舗およびオンラインチャネルでの各ブランドのハードウェアウォレットの販売と出荷を一時的に停止し、オフライン店舗を閉鎖しています。通知があるまでこの状態が続きます。

ハードウェアウォレットメーカーの Ledger は、本日再びセキュリティ事件が発生し、第三者のセキュリティ機関は今回の損失が約 9000 万ドルに達するとの見積もりを発表しました。Ledger は、東南アジアの認可ディストリビューターである CryptoBilis が販売したデバイスに関連する資金の損失を調査しており、同ディストリビューターに販売と出荷を一時停止するよう要求しました。また、過去 90 日以内にこのチャネルを通じてデバイスを購入したユーザーに対しては、慎重に操作するか、資産を移動することを推奨しています。事件の原因はまだ最終確認されておらず、サプライチェーンまたはデバイスの改ざんリスクが疑われています。Ledger の歴史における主な攻撃と資金損失に関連する事件は以下の通りです：2018 年、初期のハードウェアとサプライチェーンの研究において脆弱性が集中して発生しました。セキュリティ研究者は、Nano S が出荷前に改ざんされる可能性や、MCU ブートローダーのバイパス、隔離の脆弱性、ビットコインの釣り銭アドレスの注入などの問題をデモンストレーションしました。Ledger は次々とセキュリティ公告を発表し、修正を完了しました。関連する問題の多くは研究レベルの脆弱性であり、物理的にデバイスに接触しなければ利用できません。2020 年、Ledger で大規模な顧客データ漏洩が発生しました。攻撃者は第三者の API キーと Shopify に関連する脆弱性を利用して、電子商取引およびマーケティングデータベースにアクセスし、100 万件以上のメールアドレスと約 27.2 万から 29.2 万件の顧客詳細記録（名前、住所、電話番号など）が公開されました。ハードウェアと秘密鍵は影響を受けませんでしたが、この事件は長期的なフィッシング、ソーシャルエンジニアリング、公式書類の偽造詐欺を引き起こしました。2023 年 12 月、Ledger Connect Kit がサプライチェーン攻撃に遭遇しました。元従業員がフィッシング攻撃に遭った後、NPMJS アカウントが制御され、攻撃者は悪意のあるバージョンの Connect Kit を公開し、このライブラリに依存する DApp に悪意のあるコードを注入し、ユーザーに盗難取引を署名させるよう誘導しました。攻撃の活発なウィンドウは約 2 時間で、損失は約 48 万から 60 万ドルに達しました。ハードウェアと Ledger Live 自体は直接攻撃を受けていません。2026 年 1 月、第三者の Global-e の注文データが漏洩しました。支払いと物流のパートナーシステムが未承認のアクセスを受け、一部の Ledger.com の注文に関連する情報（名前、住所、連絡先など）が漏洩しました。Ledger 自身のシステムと秘密鍵は影響を受けませんでしたが、フィッシングリスクが再び上昇しました。2026 年 4 月、App Store において偽の Ledger Live アプリによる詐欺が発生しました。この模倣アプリは約 1 週間上架され、ユーザーにリカバリーフレーズを入力させ、50 名以上の被害者が約 950 万ドルの損失を被りました。複数のブロックチェーンが関与しています。Apple はその後、アプリを削除し、Ledger は 24 語のリカバリーフレーズを要求することはないと強調しました。2026 年 8 月、Ledger はイーサリアムアプリの署名に関連する脆弱性を開示しました。これには、コマンドの交錯によって表示内容と署名パラメータが非同期になる問題や、クリア署名のバイパスなどが含まれます。この脆弱性は悪意のあるホストとの連携が必要であり、Ledger は実際のユーザーが利用された証拠はないと述べ、関連する問題は新しいバージョンで修正されました。2026 年 10 月 9 日、CryptoBilis ディストリビューターに関連する大規模なウォレットの空にする事件が発生し、損失は約 9000 万ドルに達する見込みです。Ledger は調査を行っており、事件は特定のチャネルに対するサプライチェーンまたはデバイスの改ざん攻撃に関連している疑いがあります。公式は販売を一時停止し、関連するユーザーに資産の移動を推奨しています。

Lookonchain の監視によると、あるアドレスは4ヶ月前に約520万ドルで80枚のBTCを購入し、購入価格は1枚あたり約65000ドルでした。その間に138万ドルの利益を上げていました。1週間前、そのアドレスは転売業者のCryptoBillisからLedgerデバイスを購入し、80枚のBTCをすべてそのデバイスに保管しましたが、現在資産はすべて失われています。

Lookonchain の監視によると、Ledger ハードウェアウォレットを購入した一部のユーザーの資金が盗まれ、関連デバイスはすべてディストリビューターの CryptoBillis から購入されたもので、報告された損失総額は約 9000 万ドルに達しています。その中で、アドレスが TY24Ya とマークされたユーザーは 3 週間前に関連デバイスを購入し、700 万枚の USDT をその中に預け入れましたが、約 10 時間前にこの資金がすべて盗まれ、今回の事件での単一の損失としては最大のケースとなっています。

MistTrack の監視によると、Tether は Ledger ユーザーの資金が盗まれた事件に関連するいくつかのアドレスで大量の USDT を凍結しました。この事件の損失は 9000 万ドルに近づいており、一部の被害者ユーザーは MistTrack に支援を求めて連絡を取っているとのことです。彼らのチームは現在、対応を進めています。以前、Ledger は東南アジアのディーラー CryptoBillis に関連するユーザー資金の盗難事件を調査していると述べていました。

赵長鵬は、Ledger ハードウェアウォレットのユーザーに警戒を呼びかけ、特に最近デバイスを購入したユーザーに注意を促しました。現在把握している情報によると、今回の事件はサプライチェーンの段階に限定されており、1社のサプライヤーが関与しており、一部のユーザーが偽造または改ざんされた Ledger デバイスを購入した可能性があります。赵長鵬は、Ledger は業界内で歴史があり、安全性が高いハードウェアウォレットブランドであるが、このような事件が発生する可能性があると述べました。彼は BNB エコシステムおよび暗号業界全体に対し、盗まれた資金の追跡と回収を促進するよう呼びかけました。以前、Ledger は東南アジアのユーザーに関与する資産盗難事件を調査中であることを確認しました。関連するユーザーは、ディストリビューターの CryptoBilis を通じてデバイスを購入していました。Ledger は CryptoBilis に販売および出荷を一時停止するよう要求し、過去 90 日間にこのディストリビューターを通じてデバイスを購入したユーザーには、デバイスの初期化を行わないように推奨しました。すでに設定を完了している場合は、新しいリカバリーフレーズを使用して新しい Ledger サインデバイスを作成し、資産を新しいウォレットに移動することを推奨しています。オンチェーン調査員の Specter は、今回の事件によりビットコイン、イーサリアム、トロンネットワーク上で数百のウォレットが盗まれ、8600 万ドル以上の損失が出たと推定しています。セキュリティ研究者の tanuki42 は、損失が 7200 万ドルを超えており、金額はまだ増加していると以前に推定しました。現在、事件の具体的な原因および関与したデバイスに安全上の脆弱性が存在するかどうかは、調査と確認を待っています。

加密ハードウェアウォレットメーカーのLedgerは、東南アジアのユーザーに関わる資産盗難事件を調査中で、関連するユーザーはディストリビューターのCryptoBilisを通じてデバイスを購入していました。LedgerはCryptoBilisに販売および出荷の一時停止を要求し、過去90日以内にこのディストリビューターからデバイスを購入したユーザーにはデバイスの初期化を行わないように提案しました。すでに設定を完了している場合は、新しいニーモニックフレーズを使用して新しいLedger署名デバイスを作成し、資産を新しいウォレットに移動する必要があります。オンチェーン調査員のSpecterは、この事件によりビットコイン、イーサリアム、トロンネットワーク上の数百のウォレットが盗まれ、8600万ドル以上の損失が発生したと推定しています。セキュリティ研究者のtanuki42は、損失が7200万ドルを超えていると以前に推定し、金額はまだ増加していると述べています。現在、事件の具体的な原因と関与したデバイスにセキュリティの脆弱性が存在するかどうかは、調査確認を待っています。

オンチェーンアナリストのSpecterは、最近XとRedditでLedgerユーザーのウォレットが盗まれた事件の報告が多発していると発表しました。関連する盗難アドレスを追跡したところ、資金は数百の被害者のウォレットから来ており、イーサリアム、トロン、ビットコインなどの複数の主要なブロックチェーンに関与しており、累計損失は8600万ドルを超えています。現在、アナリストは複数の関与アドレスを開示していますが、攻撃の理由、具体的な影響を受けた人数、及びLedgerに安全上の脆弱性が存在するかどうかはまだ確認されていません。現段階の情報は主にオンチェーントラッキングとコミュニティの報告に基づいており、さらなる確認が必要です。

XRP Ledgerは10月8日にPermissionDelegationV1_1機能を有効化し、アカウント所有者が他のアカウントに特定のタスクを実行する権限を与えることを可能にしましたが、アカウントの主キーを渡す必要はありません。監視サイトXRPL Dashboardによると、このようなアップグレードは、現在35のバリデーターがある中で、80%以上の信頼できるバリデーターの支持を2週間連続で得る必要があります。少なくとも29の支持が必要です。この機能のカウントダウンは、支持率が閾値を下回ったために9月にリセットされました。この機能により、企業は職能に応じて権限を分割できます。ステーブルコインの発行者は、コンプライアンスアカウントに新しい顧客の承認を委任しながら、主キーをオフラインに保つことができます。委任されたアカウントは自分のキーを使用して署名し、与えられた操作のみを実行でき、所有者はいつでもこれらの権限を変更または撤回できます。各委任アカウントは最大10の権限を持つことができ、これらの権限は実行可能な操作の種類を制限しますが、自動的に支出上限を設定するものではありません。銀行は以前、従業員レベルで支払いとコンプライアンスの責任を分離しており、今回のアップグレードにより、このような分業が帳簿レベルで強制されるようになります。XRP財庫会社EvernorthがCoinDeskに共有した報告によると、第2四半期にこのネットワークは平均で37.2億ドルのトークン化された資産と5.39億ドルのRippleのRLUSDステーブルコインを保有しており、合計約42.6億ドルです。公式ガイドラインでは、ユーザーは個別に修正を有効化する前にPaymentBurn権限を委任しないように推奨されています。この権限は本来、アシスタントがトークンを破棄するためのものでしたが、特定の条件下では新しいトークンを作成することも許可されます。この警告は、新たに鋳造されたXRPではなく、帳簿上で発行されたトークンに対してのものです。

LedgerはTOKEN2049シンガポール大会で自己管理型貸付機能Crypto Loanを発表し、条件を満たすユーザーがLedger Wallet内で封装ビットコインcbBTCまたはwBTCを担保にして、安定コインUSDCまたはUSDTを借り入れることができるようになりました。資金を中央集権型貸付プラットフォームに移動したり、保有資産を売却する必要はありません。ユーザーはウォレット内で直接ローンを開設・管理し、ローンの価値比を追跡し、追加担保、返済、または借入の増加を行うことができ、重要な操作はLedgerの署名デバイスで物理的に確認された後に実行されます。この機能は分散型信用ネットワークMorphoによってサポートされており、技術提供者はYield.xyzで、同社はCoinbaseのビットコイン担保貸付の供給者でもあります。Ledgerは同時にその署名デバイスがMorphoに直接接続できることを発表し、ブラウザプラグインやソフトウェアウォレットを介する必要はありません。Morphoの共同創設者Paul Frambotは、この統合が「強力な流動性のフライホイール」を形成し、Ledgerの既存のEarn製品に預けられた安定コインがビットコイン保有者の現在のローンに資金を提供することを示しています。この動きはハードウェアウォレットで知られるLedgerが金融サービス分野にさらに深く進出することを促進しています。Coinbaseは最近、英国ユーザーへの拡大に伴い固定金利のビットコイン担保貸付を発表し、モルガン・スタンレーもビットコインとイーサリアムの担保貸付を探求しています。Ledgerは個人投資家が保有するビットコインの約30%を保護していると述べています。Crypto Loanは条件を満たすユーザーに対して段階的に開放されており、利用範囲は時間とともに拡大する予定です。

ブラジルの金融市場の登録、証券保管および決済システムの規制運営者である CSD BR は、BTG Pactual 傘下の一部投資ファンドの持分所有権を公開された XRP Ledger にミラーリングし始めました。CSD BR が管理する登録資産の規模は 22 兆レアルを超え、約 4 兆米ドルに相当します。既存のデータベースは、登録、保管および決済の公式記録として引き続き機能し、関連資産は XRP Ledger に移転されず、ファンドの持分はトークン形式で XRPL 上に同期して表示されます。このブロックチェーンのコピーは、承認された銀行および機関が所有権の変動をリアルタイムで検証できるようにすることを目的としており、事後の照合を代替し、遅くてコストのかかる照合プロセスを削減しつつ、身元確認と規制の管理を維持します。誰でも XRPL 上のトークンの流通を読み取ることができますが、CSD BR は依然としてこれらのトークンを保有および譲渡する権利を持つ者を制御します。トークンは XRP Ledger の多目的トークン標準を採用しており、発行者は参加者を制限し、規制または裁判所の要求に応じて資産を凍結したり取引を取り消したりすることができ、参加者は身元およびマネーロンダリング防止のチェックを通過する必要があります。このプロジェクトは、従来のテスト資産や閉じたネットワークを使用した試験とは異なり、実際のファンド記録から始まります。CSD BR は 2018 年に設立され、ブラジル中央銀行および証券規制機関からの認可を受けています。ミラーリングシステムに慣れた後、CSD BR は Ripple と共に、XRP Ledger 上での資産の直接発行をテストし、承認された参加者が取引できるようにする計画を立てており、潜在的な対象にはブラジルの不動産債権および農業債権が含まれます。

LedgerのCTOチャールズ・ギルメットは、「約30％のBTCが量子計算のリスクにさらされており、残りの約70％は公開鍵ハッシュによって安全である」という見解に同意しないと述べました。Glassnodeのデータによると、現在約30.2％のBTCがチェーン上で支出公開鍵を露出していますが、ギルメットは、これはチェーン上の静的状態を反映しているだけであり、露出していない公開鍵はxpub、デバイス、PSBT、ログ、またはバックアップに存在する可能性があると指摘しました。また、BTCが取引を開始すると、公開鍵は取引確認前に公開されます。ギルメットはGoogle Quantum AIの研究を引用し、現在存在しない高速量子コンピュータモデルの下で、secp256k1に対する関連攻撃は約9分で完了する可能性があると述べました。したがって、公開鍵を隠すだけでは量子リスクを解決できず、ビットコインは最終的にポスト量子暗号学に移行する必要があります。

XRP Ledger の PermissionDelegationV1_1 アップグレードは 9 月 21 日に 14 日間のアクティベーションカウントダウンに入り、35 の信頼できるノードのうち 29 の支持を得ました。支持率がこの期間中に 80% 以上を維持すれば、このアップグレードは最も早く 10 月 5 日 11:18 UTC に正式にアクティブ化されます。同時に、少なくとも 28 の検証ノードが継続的に支持する必要があり、そうでなければカウントダウンはリセットされます。この機能は、アカウントが役割に応じて権限を分割することを可能にします。例えば、ステーブルコインの発行者は、ネットワークに接続されたコンプライアンスシステムに顧客アカウントがそのトークンを保有することを承認させることができ、完全な制御権を持つキーはオフラインに保つことができます。運営アカウントは支払い権限を得ることができますが、キーを変更したり他者に権限を付与したりすることはできません。各受託者は最大 10 の権限を持つことができ、主アカウントはいつでも変更または撤回することができます。これはこのネットワークがこの機能を導入しようとする二度目の試みです。元のバージョンには脆弱性があり、攻撃者は正しく署名されていない取引を利用して他者に手数料を支払わせ、高額な手数料の取引を繰り返し提出することで被害者の XRP 残高を使い果たす可能性がありました。この脆弱性はコミュニティのテスターによって 2025 年 9 月 15 日に報告され、検証ノードにはこの修正案を拒否するように勧告され、したがって一度もアクティブ化されませんでした。修正バージョンは xrpld 3.3.0 と共にリリースされ、未承認の取引の拒否方法が変更され、署名の検証前に手数料が差し引かれないことが保証されました。