D’CENTとTrezorを巡るインシデントは、仮想通貨の自己管理に使われるハードウェア機器以外にもセキュリティーリスクが存在することを浮き彫りにした。D’CENTは、ソフトウエアベースのApp Walletの一部利用者に影響した不正送金を調査している。一方、Trezorは、第三者プロバイダーのBrevoが侵害された結果、攻撃者に34万7149件のマーケティング連絡先を取得されたと明らかにした。両社とも、ハードウェアウォレットのセキュリティーが侵害されたとは報告していない。D’CENTによると、報告された被害者の大半はApp Walletを利用していた。App Walletは、スマートフォン上で鍵を保管したり、鍵をインポートしたりできる。D’CENTは、リカバリーフレーズをアプリに入力し、2025年11月5日にリリースされた8.1.0より前のバージョンで取引に署名したウォレットを調べている。影響を受ける可能性があるのは、ビットコイン、イーサリアム、XRP Ledger、Tron、その他のEVM互換ネットワークである。D’CENTのハードウェア機器で生成したリカバリーフレーズは、App Walletに手動でインポートすれば、別の場所で同じ秘密鍵を再現できる。ただし、通常のハードウェア機器との接続では、リカバリーフレーズがスマートフォンに転送されることはない。D’CENTは、対象となる利用者に対し、アプリを更新し、新しいリカバリーフレーズでウォレットを作成して影響を受けた資産を移動するよう勧告している。また、取引所、法執行機関、ブロックチェーン調査会社と連携し、盗まれた資金の追跡や凍結の可能性を探っている。Trezorのインシデントは、Brevoで攻撃者がSAMLシングルサインオンの脆弱性を悪用し、顧客138アカウントにアクセスしたことから始まった。43アカウントから連絡先がエクスポートされ、そのうち6アカウントは正規のインフラを通じたフィッシングメールの送信に使われた。Trezorの連絡先に送られたメッセージは、ハードウェアに重大な脆弱性があると偽り、ウォレットのバックアップを要求するアプリケーションに受信者を誘導した。悪意のあるドメインが無効化されるまでに、約2500人がアクセスした。クリックしただけで資金が流出することはなかったが、バックアップを入力すると、攻撃者が別の場所でウォレットを再現できる可能性があった。Trezorはこれに先立ち、電話番号と配送先住所に関する、配送業者を巡る8月の関連インシデントも公表していたが、ウォレットに影響はなかったとしている。こうした事例を受け、ウォレット各社には、機器だけでなく、顧客データベース、ソフトウエアの運用、外部ベンダーのセキュリティーも保護するよう、圧力が強まる可能性がある。TrezorはBrevoのアカウントを停止し、ベンダーとの関係やセキュリティー要件を見直している。Brevoは悪用されたSSO経路を閉鎖し、アクティブなセッションをリセットした。また、認証を各SSO設定を所有する組織に限定する恒久的な修正を導入していると説明した。D’CENTは、調査を進めて全容と移動された資産を回収できるかどうかを確認するなか、保護措置とリリース前の検証手順を追加していると明らかにした。両インシデントは、リカバリーフレーズが侵害されたソフトウエアに入力されたり、フィッシングによって開示されたりすれば、攻撃者はハードウェア機器を破る必要がないことを改めて示している。