レジャーは2026年10月13日、東南アジアのリセラーであるクリプトビリス経由で販売されたレジャー署名端末について、レジャー・ドンジョンの解析更新を公表した。同社は2026年10月10日、被害利用者1人の署名端末で不正なハードウェア・インプラントを確認しており、今回の解析では、端末内の追加部品が初期設定時に表示される24ワードのリカバリーフレーズを読み取り、イーシムとLTEで外部へ送信する流れを説明している。
インプラントは端末の筐体内部に置かれ、画面に表示されるデータを読み取る。初期設定中に署名端末が24ワードのリカバリーフレーズを表示すると、インプラント側のマイクロコントローラーが語句を復号し、あらかじめ設定されたイーシムを使ってLTE経由で送信する。
インプラントは独立した部品で、セキュアエレメント、レジャーOS、取引内容、署名を改変しない。対象はレジャーが確認したクリプトビリス販売端末に限られ、レジャー端末全般がリカバリーフレーズを送信していたという内容ではない。
10月9日に公表された資金流出事案で、レジャーが確認した損失事例はクリプトビリス販売端末に関係している。レジャーの自社システムや直販経路への侵害は確認されておらず、クリプトビリスは調査中、レジャー署名端末の販売を停止している。
参照：X投稿
