Ledgerは東南アジアのディストリビューターCryptoBilisが販売したハードウェアウォレットに悪意のあるコンポーネントが埋め込まれていることを確認しました：リカバリーフレーズを盗むことができます。

Ledgerの公式発表によると、そのセキュリティチームLedger Donjonが、東南アジアのディーラーCryptoBilisから販売されたLedger署名デバイス（signer）について調査を行っています。このバッチのデバイスには、無許可のハードウェアコンポーネントが埋め込まれていました。Ledgerは10月10日に影響を受けたユーザーのデバイスについてこの件を確認しました。Donjonの分析によると、埋め込まれた部品はデバイスの外殻内にあり、画面表示内容を読み取ることができ、初期設定時に24語のリカバリーフレーズをデコードし、内蔵eSIMを介してLTEで外部に送信されます。このコンポーネントはセキュリティチップ、システム、または取引署名を変更することはありません。

現在、10月9日に開示された事件に関連する確認された資金損失はすべてCryptoBilisから販売されたデバイスに関係しています。CryptoBilisはLedgerデバイスの販売を停止しました。影響を受けたユーザーの総数および損失額はまだ確認されておらず、Ledgerは他のディーラーや地域での類似の埋め込み報告を調査しています。