2026年に入り、少なくとも6社のハードウェアウォレットブランドが安全上の問題を公表した。暗号資産の損失が確認されているのはColdcardと、Ledgerの販売代理店に関係する事案で、最新の問題では、購入者への配送前に機器が改ざんされた可能性が浮上している。改ざんされたLedger製品が東南アジア以外の地域にも流通した可能性があるものの、対象地域や影響を受けた利用者数はまだ明らかになっていない。
オフラインで資産を管理できることが特徴のハードウェアウォレットだが、リスクは端末そのものに限られない。秘密鍵の生成方法、製品のサプライチェーン、顧客情報の管理など、複数の工程が安全性に関わる。
Coldcardの乱数生成に問題、損失は1億1500万ドル超か
7月30日以降、窃盗犯が一部のColdcardウォレットから暗号資産を移転し始めた。問題の背景には、秘密鍵を生成する際の乱数の不十分さがあるとされる。Galaxy Researchはその後、Coldcardに関連する損失額を1億1500万ドル超と試算した。
この事案は、秘密鍵をハードウェアウォレット上で生成していても、鍵の生成メカニズム自体に欠陥があれば、資産の安全性が損なわれる可能性を示している。
レーザー攻撃は端末への接触と実験設備が必要
Ledgerの社内セキュリティチームは6月、Trezor Safe 7のチップを対象にレーザー攻撃のテストを実施し、7月にはTangemのカードでも同様の検証を行った。いずれの攻撃も実物の端末を入手したうえで、専門的な実験設備を使う必要がある。
Trezorは利用者の資金に影響はなかったとしている。Tangemも、一般の利用者が直面するリスクは「ほぼ存在しない」と説明し、検証を行った研究者が競合企業に所属している点を指摘した。
BitBoxはファームウェアの脆弱性を修正
BitBoxは8月、複数のファームウェア脆弱性を修正した。同社のエンジニアはこれらを深刻な問題と位置付けたが、BitBoxは脆弱性を原因とする資金盗難を報告していない。
Coldcardの事案と比べると、安全上の問題が見つかったことと、実際に資産が失われたことは同じではない。端末への物理的な接触が必要か、脆弱性が実際に悪用されたかといった条件によって、利用者が負う実質的なリスクは異なる。
個人情報の流出と端末改ざんは別のリスク
別の事案では、ウォレットの秘密鍵ではなく利用者の個人情報が影響を受けた。Trezorの配送業者では1万3689人の購入者データが流出し、SafePalでは約4万件の自宅住所が漏えいした。
住所などの情報が外部に出れば、プライバシー上の問題や、その後の安全上の懸念につながる可能性がある。ただし、現時点で確認されている情報からは、これらの流出が対象利用者の暗号資産の盗難に直接つながったとは示されていない。
Ledger関連の事案で焦点となっているのは、サプライチェーン上での端末改ざんだ。機器が購入者に届く前に改変された可能性がある一方、影響を受けた端末の台数や販売経路の詳細は明らかになっていない。東南アジア以外の地域への流通についても、具体的な範囲は示されていない。
2026年に安全問題を公表したブランドは6社に上り、暗号資産の損失が確認されている事案にはColdcardとLedgerの販売代理店が関係している。Ledger製品の改ざん疑いについては、対象となる端末と利用者の範囲が今後の確認点となる。