Ledger（レジャー）、被害者の端末1台に「不正なハードウェア」を確認｜東南アジアの正規販売店の購入者から Bitquery 集計で約9,320万ドル流出か、日本の正規販売店は一覧で確認できる【2026年10月12日更新】

ハードウェアウォレットは「ネットにつながない場所に鍵を置く」ための道具です。今回は、その端末を「どこで買ったか」が調査の対象になっています。

暗号資産のハードウェアウォレット大手 Ledger（レジャー）は10月9日、東南アジアの販売店「CryptoBilis」で端末を買った人の資金が失われたという報告を調べていると公式に発表しました。同社はこの販売店に Ledger 端末の販売と出荷をすべて止めるよう求め、10月10日には、CryptoBilis がハードウェアウォレットの在庫すべての販売をやめたと発表しました。CryptoBilis は、Ledger 自身の正規販売代理店の一覧に載っている店です。

オンチェーン分析会社の Bitquery は、315のウォレットから約9,320万ドルが抜き取られたと集計しています（10月11日の更新。当初は311のウォレット・約9,290万ドル）。Ledger は流出額を公表していません。日本の購入者が対象になったという発表もありません。

【2026年10月12日 追記】Ledger は10月10日（日本時間11日2時9分）、被害を受けた利用者の端末の1台に、許可なく組み込まれたハードウェアがあったことを確認したと発表しました。10月11日（日本時間12日2時13分）の「72時間の更新」では、これまでに確認された事例はすべて CryptoBilis が販売した端末で、影響を受けた端末の数は限られているとし、Ledger 自身のシステムと直販の経路は影響を受けていないとしています。組み込まれていた部品が何をするものかは公表していません。

この記事で分かること

• Ledger が10月9日に発表した内容と、購入者への案内
• （10月12日追記）Ledger が確認した「不正なハードウェア」と、72時間後の更新の内容
• CryptoBilis はどの国の販売店か、日本の正規販売店はどこか
• Bitquery が集計した流出の規模と、分かっていないこと
• 2026年に起きたハードウェアウォレット関連の事案との共通点

何が起きたか：Ledger が東南アジアの販売店の購入者の被害を調査

Ledger は2026年10月9日（日本時間22時32分）、サポートの公式Xアカウントで次の内容を発表しました。

発表には、流出の金額も、原因も書かれていません。

（2026年10月12日追記）続報：被害者の端末に「不正なハードウェア」、確認された事例はすべて CryptoBilis の端末

Ledger はその後、2回続報を出しています。

どちらの発表も、組み込まれていた部品が何をするものか、ほかの被害者の端末にも同じものがあったかは書いていません。不正なハードウェアが確認されたと公表されている端末は1台です。影響を受けた端末の総数は公表されていません。

CryptoBilis はどこの販売店か

Ledger の公式サイトにある「Ledgerの正規販売代理店を探す」の一覧（2026年10月10日に確認）では、CryptoBilis はインドネシアとマレーシアの欄に、「CryptoBilis PH」がフィリピンの欄に載っています。確認した時点では、一覧から外されていませんでした。

つまり今回の販売店は、Ledger 自身が正規の販売代理店として載せていた店です。

（2026年10月12日追記）10月12日に同じ一覧を確認すると、インドネシアとマレーシアの欄の表記は「Cryptobilis- Sales temporarily paused」（販売を一時停止中）に変わり、フィリピンの欄からは「CryptoBilis PH」が外れていました。

流出の規模：Bitquery の集計

Ledger は金額を公表していないため、ここではオンチェーン分析会社 Bitquery が10月9日に公開した調査報告の数字を、同社の集計として紹介します。下の表は報告の初版の数字で、10月9日16時45分（UTC）＝日本時間10月10日1時45分時点のものです。Bitquery はその後の動きで数字が変わるとしており、10月11日の更新後の数字は表の後に示します。

先に調査者が X に公開したアドレス10件からの推計は8,600万ドル超で、Bitquery はこれに BNB Chain・Polygon と、公開リストに無い TRON のアドレスを加えたとしています。

（2026年10月12日追記）Bitquery は10月11日に報告を更新し、集計を6つのチェーン（Solana を追加）・315のウォレット・約9,320万ドルに改めました。あわせて、資金の動きを次のように示しています。

Bitquery によると、TRON 上で USDD から USDT に戻された資金は、多くの顧客が使う相対取引（OTC）型のウォレットに送られ、そのウォレット群から約520万 USDT が Binance の3つの入金アドレスに送られました。ただし、このウォレット群はほかの顧客の資金も扱っているため、520万 USDT のうち被害資金がいくらかは特定できないと Bitquery 自身が書いています。

自分に関係があるか：日本で買った Ledger は対象？

Ledger の発表が対象にしている人

Ledger の発表が名前を挙げているのは、東南アジアで CryptoBilis から製品を買った利用者です。日本の購入者や、日本の販売店については、発表に記述がありません。

端末をどこで買ったかは、注文履歴や領収書に販売者として記載されます。10月9日の初報で、CryptoBilis で買った端末について Ledger が示した案内は、上の表の3と4です。10月10日・11日の続報では、90日の条件を付けずに案内しています（次の節）。

「90日」の外は無関係か

10月9日の初報で「過去90日以内」の条件が付いているのは、まだ設定していない人に、設定を始めないよう推奨した部分です。続く、すでに設定した人への案内（新しいシードの別の端末への移動の検討）では、この条件は繰り返されていません。90日より前の購入者に案内が当てはまるかは、10月10日時点の発表からは明確ではありません。

Bitquery は、最初の入金日を調べた TRON・Bitcoin・Ethereum の被害ウォレットのうち最初の入金が90日の範囲内だったのは約6割、8割超は6月以降だったと集計しています。ウォレットの最初の入金日だけでは、端末を買った日は分かりません。

（2026年10月12日追記）10月10日と11日の続報では、CryptoBilis で買った人への案内に「過去90日以内」の条件は付いていません。10月11日の更新は「CryptoBilis の購入者向け」として、未使用の端末は初期設定しないこと、設定済みの場合は Ledger の端末で新しいシードに移すことを案内しています（原文「move to a new seed on a device from Ledger」）。10月9日・10日の「移すことを検討」より、はっきりした書き方です。

（2026年10月12日追記）資金が抜かれたウォレットに、後から入金するとどうなる？

Bitquery は、抜き取られたウォレットの鍵は盗んだ側が持ったままだと書いています。実際に、10月9日に資金を抜かれた TRON のウォレットに、10月10日の午後、いつもの送金元から 70,000 USDT が届き、その約10分後に、前日に署名されていた承認を使って引き出されたと報告しています。同社は「抜き取られたウォレットは盗んだ側の手に残り、そこに送られたものは再び取られうる」としています。この 70,000 USDT は、前述の約9,320万ドル（10月9日の流出分）には含まれていません。

日本の正規販売店はどこか（ハードウェアウォレットをどこで買うか）

同じ Ledger の一覧で、日本の欄に載っているのは「Amazon Japan」の1件だけです（2026年10月10日確認）。リンク先は Amazon の中の特定のストアです。

一覧のページには、次の注意書きがあります。

一部の国や地域において、サードパーティのマーケットプレイス（Amazon、Shopee、Lazada、Mercado Libreなど）上の「Ledger正規ストア（Ledger Authorized Store）」は、Ledgerが直接管理・運営しているのではなく、Ledger認定リセラー（正規販売代理店）によって管理・運営されている場合があります。

続けて同社は、マーケットプレイスのストアの運営者が、一覧に載っている自分の地域の正規販売代理店と一致しているかの確認を挙げ、一覧に無い販売者が同じマーケットプレイスで製品を売っている場合があるとも書いています。同じ Amazon の中でも、売っている人が一覧と同じとは限らないということです。

問い合わせ先

Ledger は、問い合わせを公式の窓口（support.ledger.com）で受け付けるとしています。今回のような事案では、サポートを名乗る偽のアカウントやメールが出ることがあります。過去の事案では、SafePal が、流出した情報を使った偽サイトやフィッシングのリンクを30件以上削除したと公表していました。

（2026年10月12日追記）Ledger は10月11日の更新で、Ledger から電話をかけることも、DM を送ることも、24単語のリカバリーフレーズを尋ねることもないとしています。

この件が示していること：ハードウェアウォレットの事案で判明した問題の場所と、まだ分からない原因

2026年に、このサイトで取り上げたハードウェアウォレット関連の事案を並べます。

Coldcard は端末の中のシードを作る処理、Trezor は配送の委託先、SafePal は注文を追う機能と、3件ではそれぞれ別の場所の問題が公表されました。今回の Ledger の件では、CryptoBilis を通じて販売された被害者の端末1台で、許可なく組み込まれたハードウェアが確認されました。その部品が資金の流出に関わったか、関わったならどのようにかは、まだ公表されていません。

Bitquery は、TRON 上の25のウォレットが3秒以内に、同じアドレスに USDT を動かす権限を与える承認に署名していたことなどから「1人がすべての鍵を持っていた」とみていますが、同時に「鍵がどこから漏れたかはチェーンからは分からない」とも書いています。Bitquery によると、引き出しの2週間前から、TRON で21回、Ethereum で20回の少額のテスト送金が行われていました。

ハードウェアウォレットは、最初に作られるシードを持ち主以外の誰も知らないことが前提の道具です。Ledger が設定済みの人に示した案内は、端末の更新ではなく、新しいシードで設定した別の端末への移動でした。

いま使っているハードウェアウォレットは、どこから届きましたか。

現時点で未確定の事項

• 流出の仕組みの全体。Ledger は被害者の端末1台で許可なく組み込まれたハードウェアを確認したと発表したが、その部品の働きと、ほかの被害者の端末も同じかは公表していない（10月12日時点）
• Ledger が確認した流出額と被害者の数（記事の数字は Bitquery の集計。Ledger は「影響を受けた端末の数は限られている」とだけ説明）
• 日本の購入者・日本の販売店で被害があるか（Ledger の発表に記述なし）
• 被害の補償があるか
• 「過去90日」より前に CryptoBilis で買った人の端末が、被害の対象範囲に入るか（10月10日・11日の続報で購入時期を限定しない案内は出ているが、対象範囲そのものは公表されていない）

出典・確認日

• Ledger サポート公式X（@Ledger_Support）の投稿（2026年10月9日 13:32 UTC、2026年10月10日 17:09 UTC）
• Ledger 公式X（@Ledger）「72 hour update on reseller CryptoBilis incident」（2026年10月11日 17:13 UTC）
• Ledger「Ledgerの正規販売代理店を探す」（日本語ページ・2026年10月10日と10月12日に掲載内容を確認）
• Bitquery「Ledger CryptoBilis Hack」（2026年10月9日。2026年10月11日 07:00 UTC の更新を含む）
• 当サイトの既報（Coldcard・Trezor・SafePal）

確認日: 2026年10月10日（2026年10月12日に Ledger の続報2件、Bitquery の更新、正規販売代理店の一覧の変化を追記）。本記事は公表された資料の記載を整理したものです。端末や資産の扱いの確認先は、Ledger の公式サポートです。

この記事のまとめ

• Ledger は2026年10月9日、東南アジアの販売店 CryptoBilis で端末を買った利用者の資金が失われたという報告を調べていると発表し、同店に販売・出荷の停止を求めました
• （10月12日追記）Ledger は被害者の端末1台に、許可なく組み込まれたハードウェアがあったと確認。これまでに確認された事例はすべて CryptoBilis が販売した端末で、Ledger のシステムと直販の経路は影響を受けていないとしています。部品の働きは公表されていません
• Ledger は当初、同店で過去90日以内に買った人のうち、まだ設定していない人には設定を始めないよう推奨し、設定済みの人には新しいシードの別の端末へ資産を移すことの検討を案内しました。10月11日の更新では、90日の条件を付けずに CryptoBilis の購入者向けとして、未使用の端末は初期設定せず、設定済みなら Ledger の端末で新しいシードに移すよう案内しています
• CryptoBilis は、Ledger の正規販売代理店の一覧にインドネシア・マレーシア・フィリピンの店として載っていました。10月12日時点では、インドネシア・マレーシアの欄は「販売を一時停止中」の表記に変わり、フィリピンの欄からは外れています
• Bitquery の集計は、10月11日の更新で6つのチェーンの315ウォレットから約9,320万ドル。Ledger は流出額を公表していません
• Ledger の一覧で日本の正規販売店は「Amazon Japan」の1件。マーケットプレイスでは一覧に無い販売者が売っている場合があると、Ledger 自身が書いています
• 日本の購入者が対象になったという発表はありません

あわせて読みたい

• Coldcardのシード生成に不具合｜対象ファームウェアと公式が示した移行手順【2026年8月】
• Trezorの配送代行業者から顧客情報が流出｜対象国と対象期間、自分が対象かの見分け方【2026年8月】
• SafePalの顧客注文情報が外部から閲覧される｜約39,798人、住所と電話番号が対象【2026年8月】
• 本物のウォレットアプリを終了させて偽物に差し替える｜Rapid7が公開した暗号資産詐欺の全工程と見分け方【2026年8月】
• 口座と個人情報を守る ── フィッシング・出金トラブルから資産を守る基本

※本記事は公表された資料・発表の内容を整理した一般的な情報提供であり、特定の個人・団体・商品・サービスの利用や解約を勧めるものではありません。投資の最終判断はご自身の責任で行ってください。元本保証はなく、損失が生じる可能性があります。税務の取扱いについては税理士に、法律上の論点については弁護士にご確認ください。

記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。