公式サイト以外で買ったハードウォレットが盗難の入り口になる理由

ハードウォレットを手に入れ、ようやくセルフカストディを始めようとしている。そのデバイス、どこで購入しましたか？

Amazon、メルカリ、あるいは聞き覚えのないオンラインショップ——価格が公式より少し安かったから、という理由で選んだとしたら、少し立ち止まって読んでほしいと思います。

ビットコインを入金した瞬間に引き出される

「サプライチェーン攻撃」という言葉を聞いたことがあるでしょうか。ハードウォレットが利用者の手に届くまでの流通過程のどこかで、攻撃者がデバイスに細工を施す手口です。

具体的には、攻撃者があらかじめデバイスを初期化し、自分だけが知っている24語のシードフレーズを設定します。そして外箱を丁寧に再封して市場に流通させます。箱を開けた利用者は「新品」だと信じ、そのまま使い始めます。BTCを入金した瞬間、同じシードフレーズを持つ攻撃者が、別の端末から即座に全額を引き出せる状態になっています。

これは理論上の話ではありません。LedgerやTrezorの公式サポートにも、非正規ルートで購入したデバイスによる被害報告が寄せられています。被害者の多くは「初期設定がすでに済んでいた」という点を、手間が省けて便利だと思っていたそうです。

箱の中に「シードカード」が入っていたら即停止

特に注意すべきサインがあります。デバイスの箱を開けたとき、「初期設定用シードフレーズ」や「リカバリーカード」と書かれた紙やカードがあらかじめ印刷済みで入っていた場合です。

LedgerもTrezorも、シードフレーズはデバイス自体が初回セットアップ時に内部で生成し、画面に表示します。メーカーが印刷済みのシードを同梱することは絶対にありません。にもかかわらず記入済みのカードが入っていたとすれば、それは攻撃者が仕込んだ罠以外の何ものでもありません。

そのカードに書かれた24語を使ってウォレットを設定してしまえば、最初から攻撃者と鍵を共有している状態になります。ビットコインを入金した時点で、あなたの資産は完全に無防備です。

正規ルート以外に「信頼できる販売店」は存在しない

ハードウォレットの販売において、「信頼できる非公式販売店」というものは基本的に存在しないと考えるべきです。

Amazonのマーケットプレイスは出品者を細かく管理していません。フリマアプリは言うまでもありません。国内の家電量販店であっても、メーカーと直接の正規代理店契約を結んでいるかどうかは個別に確認が必要です。

対策はシンプルです。

Ledger: ledger.com から直接購入する
Trezor: trezor.io から直接購入する
日本からの購入でも公式サイトから注文でき、数日で届きます

価格差が数千円あったとしても、ビットコインの保管先に使うデバイスにケチるべきではありません。数百万円、数千万円を預けるデバイスを数千円安くするために、非正規ルートから買う合理性はありません。

届いたら必ず自分でゼロから初期化する

公式サイトから購入した場合でも、届いたデバイスをそのまま使い始めるのは推奨しません。配送中に何らかの細工がされていた可能性をゼロにできないからです。

正しい手順は以下の通りです。

デバイスの封印シールが破損・剥がれていないか確認する
デバイスの電源を入れ、自分でファクトリーリセット（初期化）を実行する
デバイスが新たに生成した24語のシードフレーズを、自分の手で紙に書き写す
そのシードフレーズを使って自分でウォレットを設定する

手順2が重要です。新品であっても一度初期化することで、万が一前の持ち主や配送中の第三者が何かを仕込んでいたとしても、それを無効化できます。

シードフレーズは自分だけが知っているべきものです。誰かが知っている時点で、そのウォレットはあなたのものではありません。

セルフカストディは「正しい入り口」から始まる

取引所からビットコインをセルフカストディに移すことは、資産の管理権を自分の手に取り戻す重要なステップです。しかし入り口を間違えれば、むしろ安全性が下がります。

正しい順序は、「公式サイトで購入 → 自分で初期化 → 自分でシード生成 → 自分で安全に保管」です。この手順を一つひとつ丁寧に確認することが、セルフカストディの本質です。

すでに非正規ルートで購入したデバイスを使っている場合、今すぐ公式サイトから新しいデバイスを購入し、資産を移してください。「今まで何も起きていないから大丈夫」は、攻撃者がまだ引き出すタイミングを待っているだけかもしれません。

※本記事は一般的な情報提供を目的としており、投資助言ではありません。