暗号資産向けハードウェアウォレットを手がけるTrezorは10月30日（現地時間）、東南アジアの販売業者CryptoBilisが取り扱った「Trezor Safe 5」にハードウェア改ざんの疑いがあるとして、公式ブログで注意喚起した。対象ユーザーに対し、新しいシードで作成したウォレットへ資産を速やかに移すよう求めている。

Trezorによると、問題の端末は、これまでにLedger製品で報告された事例と似た手口で改変された可能性がある。通報は10月28日、責任ある情報開示プログラムを通じて寄せられた。対象は、インドネシアの顧客が8月に電子商取引プラットフォームTokopediaで購入した製品だという。

通報内容では、端末内部のメイン基板とディスプレイの間に、セルラーモジュールとアンテナを備えた追加基板が挟み込まれていた。この基板が、画面に表示される復旧フレーズ（バックアップ）を読み取り、端末の使用中に携帯通信経由で外部へ送信する恐れがあるとしている。

もっとも、Trezorは現時点でこの内容を自社で直接検証できていないとしている。通報者は、端末の重量の違いから不審に気付いたという。

Trezorは当該端末を受け取っていないが、写真の精査とビデオインタビューを踏まえ、通報には一定の信頼性があると判断した。検証完了前ではあるものの、購入者がリスクにさらされる可能性を考慮し、先に公表に踏み切ったとしている。

通報者は、バックドアを発見する前にすでに資金を移しており、現時点で盗難被害は確認されていない。関与した主体も特定されていないという。Trezorは、Ledgerを含む調査関係者と情報を共有していると説明した。

同社は、3月以降にCryptoBilisで機器を購入したユーザーに対し、新しいシードで作成したウォレットへ資産をできるだけ早く移すよう推奨した。問題の端末で作成したバックアップを別の端末で復元しても、対策にはならないと強調している。

別のハードウェアウォレットが手元にない場合は、ソフトウェアウォレットや取引所へ一時的に資産を移すことも選択肢になるとした。未使用の端末は設定せず、既存のバックアップも入力しないよう呼びかけている。

この注意喚起はSafe 5に限らず、CryptoBilis経由で購入したすべてのTrezor製品が対象となる。Tokopedia内の店舗など、CryptoBilisが供給した製品を扱う販売先で購入したケースも含まれる。Trezorは、重量測定や端末を開けて確認する方法は信頼できないとしている。

対象ユーザーは端末を保管したうえでカスタマーサポートに連絡すれば、代替品の発送、または購入額相当のバウチャーを受け取れるという。Trezorは、今回の事案に便乗したフィッシングの増加にも警戒を促し、復旧フレーズを第三者に絶対に伝えないよう注意を呼びかけた。

同社は、Ledger端末の改ざん報告が相次いだことを受け、10月9日にCryptoBilisを販売パートナーから除外した。他の販売業者に関する同様の通報は確認されていないとしている。