Trezorのメールプロバイダーが不正アクセス被害——「偽セキュリティ警告」でリカバリーフレーズを狙うフィッシングの手口を読む

ハードウェアウォレットを使っている、だから自分は安全だ——そう思い込んでいると、今回のTrezorの件はかなり刺さると思っています。

何が起きたか

2026年9月10日、Trezorは公式に声明を出しました。同社が利用しているメールプロバイダーが第三者に不正アクセスされ、ユーザーに向けて「ハードウェアに重大な欠陥が見つかった。リカバリーフレーズが外部に漏えいする恐れがある」という内容の偽セキュリティ警告メールが送られた、というものです。

Trezor自体のデバイスやサーバーが侵害されたわけではない。でもそれで「大丈夫」とは自分には言えないです。なぜなら、攻撃者が狙っていたのはTrezorのシステムではなく、ユーザーの心理だったから。

フィッシングの構造——「信頼の借用」という古典的な手口

この手口には名前があって、セキュリティの世界では「サプライチェーン・フィッシング」と呼ばれます。攻撃対象そのものを直接破るのが難しいとき、その周辺にある信頼を乗っ取る。Trezorという名前の送信元から届く警告メール——それだけで多くのユーザーは疑いを持ちにくい。

メールの内容は巧妙に設計されていたと見ています。「ハードウェアの欠陥でリカバリーフレーズが漏えいする可能性がある」というメッセージは、受け取った人に「早く何かしなければ」という焦りを生む。フィッシングの基本中の基本で、2017年当時のICO詐欺メールと構造は何も変わっていない。変わったのは、攻撃対象がより洗練されたユーザー層に移ったということだけです。

ハードウェアウォレットを使っている人は、ある程度セルフカストディの意味を理解している層です。取引所に資産を預けっぱなしにするリスクを知っていて、わざわざデバイスを購入して管理している。その「リテラシーの高さ」が逆に盲点になる。「自分はちゃんと管理している」という自信が、Trezorからの公式メールへの無警戒につながる。

リカバリーフレーズを「入力させる」——これが詐欺の終着点

今回の偽メールが最終的に何をさせようとしていたか、まだ完全な詳細は出ていませんが、パターンから推測するとリカバリーフレーズの入力を促すフィッシングサイトへの誘導だったと自分は読んでいます。

リカバリーフレーズ（シードフレーズ）は12〜24語の英単語の羅列で、それさえ手に入れれば攻撃者はどのデバイスからでも完全にウォレットを復元できる。秘密鍵そのものです。ハードウェアウォレットのデバイスを奪われるより、この言葉の羅列を一度でも外部に打ち込めば終わり。物理的な鍵を複製されたようなもの。

「Trezorは公式のウェブサイト以外でリカバリーフレーズの入力を求めることは絶対にない」——これはTrezorが以前から繰り返し言ってきていることで、今回の声明でも同様のことを強調しています。でも、それを知っていても焦りの中では人は動く。2022年にCelsiusやFTXが止まっていくのを見ながら、自分も含めてみんな冷静ではいられなかったあの感覚に近いものが、緊急メール一本で再現される。

なぜ今、この話が重要なのか

BTCが$78,000前後で推移している今の相場は、正直なところ動きが薄い。7日間でほぼゼロ、24時間でも-0.5%程度。こういう局面はポジションを触る理由も薄く、ウォレット管理の意識も下がりやすい。「今は何もしなくていい期間」と感じている人ほど、セキュリティの手が緩む。

それから、Clarity Actの上院審議が9月15日に迫っている。規制の枠組みが整いつつある中で、暗号資産の「正規化」が進めば進むほど、新しいユーザーが流入してくる。経験の浅いユーザーが増えるタイミングは、詐欺師にとって繁忙期です。この時期にTrezorという著名ブランドを騙ったフィッシングが走るのは、マーケティング的にも「狙い目」だったと思っています。

BNBが24時間で-3.6%と今日の主要銘柄の中では最も下げが目立ちますが、市場全体として大きなパニックではない。静かな相場の中でセキュリティインシデントが起きると、ニュースとして埋もれやすい。それが怖い。

自分が今確認したこと、している習慣

サバイバーとして言えることがあるとすれば、こういうインシデントのたびに同じことを繰り返し自分に確認するようにしているということです。

メールに記載されたリンクは絶対に踏まない。Trezorのサイトには検索かブックマークから入る。リカバリーフレーズはどんな状況でもデジタルデバイスに入力しない。これだけ。シンプルすぎて拍子抜けするかもしれないけれど、2017年から今まで、フィッシング詐欺で資産を失ったケースのほとんどはこのどれかを破っている。

「ハードウェアウォレットを持っているから安全」ではなく、「ハードウェアウォレットを正しく使っているから安全」——この違いは思っている以上に大きい。デバイスは道具で、使う人間のオペレーションが最終的なセキュリティラインになる。

取引を続けるなら、リスク管理の視点も持っておきたい

セキュリティの話とは少し文脈が変わりますが、自分一人で相場を追いながらウォレット管理もやってというのは、正直キャパに限界があります。特に経験が浅い時期はそうでした。取引の判断部分だけでも、実績のあるトレーダーの動きを参照する形にするのは一つの選択肢だと思っています。BingXのコピートレード機能は、自分がオペレーションに集中できない局面で使うツールとして見ています。あくまで自己責任の範囲ですが、選択肢を知っておくのは損ではないです。

そんな感じで見ています。参考になれば。