取引所を出た先で待つ偽物｜公式直販・封印・検証の3点確認

取引所のリスクを調べ、「自分で管理しなければ」と決断した。ハードウォレットを注文し、届いた箱を開けた。画面は正常に光り、操作も問題ない。BTCを移した。安心した。——しかし、それが全損への入り口だった。

このシナリオは架空ではない。2021年、Ledger社は公式ブログで偽物ハードウォレットの流通を正式に警告した。精巧に作られた外見、正常に動作するディスプレイ。見た目で区別することはほぼ不可能で、だからこそ使い続けてしまう。それが攻撃の設計通りの動きだ。

偽物が仕掛ける罠の構造

偽物のハードウォレットには、工場出荷の時点から攻撃者のシードフレーズが仕込まれている。あなたが初期設定として見ているものは、実は攻撃者が既に生成済みの鍵から派生したアドレスだ。

BTCを入金すると、攻撃者の手元にもリアルタイムで残高が反映される。しかし攻撃者はすぐには動かさない。それが戦術だ。「残高が少ないうちは放置し、まとまった額になったときに全額引き出す」——そう設計されている。積立を続ける間、あなたの資産は増え続け、攻撃者の標的としての価値も高まっていく。

取引所から自己管理に移したBTCは、安全な場所に届いたのではなく、攻撃者が鍵を持つ場所に届いたことになる。取引所リスクから逃れようとした行動が、より確実な全損経路に変わる。

偽物の最大の特徴は、正常に動くように設計されていることだ。送金できる。残高も表示される。画面の指示通りに操作すれば、違和感を覚えるタイミングがない。

本物のハードウォレットと同じUIで動作し、同じ操作感を持つ。外見の検査では発見できない。攻撃者はこの「気づけない期間」を利用して、残高が増えるのを待ち続ける。1ヶ月後かもしれないし、半年後かもしれない。まとまった額になった瞬間に動く。その時点で手元には1サトシも残らない。

「ずっと使えていたから本物だ」という経験則が通じないのが、この攻撃の特性だ。

防御の機会は購入時と受け取り直後の一度だけだ。使い始めてから確認しようとしても、検証の意味がなくなる。

1. 公式サイト直販。Amazonや価格比較サイト経由の購入は、流通経路に第三者が入る余地を生む。梱包後に改ざんされた事例が複数報告されている。LedgerもTrezorも、公式ウェブサイトからの直接購入を強く推奨している。

2. 封印シールの確認。開封済みの痕跡があるものは絶対に使ってはならない。シールの剥がれ、箱の変形、接着剤の跡——これらは改ざんのサインだ。新品で届いたように見えても、このチェックを省くことはリスクになる。

3. ファームウェアの検証。Ledgerであれば初回接続時にLedger Live経由でファームウェアが正規品かを確認できる仕組みがある。この手順をスキップしてはならない。偽物はこの検証に失敗することが多いが、検証しなければそのことすら気づかない。

取引所に預けたままのBTCには、出金停止・経営破綻・資産凍結という固有のリスクがある。自分で秘密鍵を管理するセルフカストディはその対応策として正しい判断だ。

ただし、「鍵を自分で管理する」とは「機器の正当性まで自分で確認する」ということを意味する。取引所では相手方のリスクを取るが、自己管理では機器選定と確認プロセスへの責任も自分が負う。取引所から移しさえすれば安全、という考えは半分しか正しくない。

公式サイト直販、封印シールの確認、ファームウェア検証。この3点を購入時に完了させることが、セルフカストディの本当の出発点だ。今手元にあるハードウォレットをまだ確認していないなら、今日中に実行することを強く勧める。

※本記事は一般的な情報提供を目的としており、投資助言ではありません。