Ledger揭露硬件钱包中隐藏的间谍植入物

Ledger披露东南亚经销商CryptoBilis销售硬件钱包遭物理篡改事件

Ledger官方表示，经东南亚经销商CryptoBilis销售的硬件钱包遭到修改，植入的恶意组件旨在捕获用户的助记词（恢复短语），并通过蜂窝网络将数据发送给攻击者。公司强调，安全芯片及交易签名过程并未受到影响。

技术细节：隐蔽的LTE传输模块

Ledger的安全研究团队Ledger Donjon发现，这些植入物利用微控制器解码设备初始化设置期间屏幕上显示的24个单词组成的助记词，并通过嵌入式SIM卡（eSIM）使用LTE网络传输数据。Ledger指出，该组件独立运行，未改动设备的Secure Element（安全元件）或操作系统，也未干扰交易签名流程。

攻击原理与检测局限

该植入物位于设备外壳内部。据Tech Times引用的研究人员分析，它被连接到内部数据通道中，该通道负责向屏幕传输信息，从而使其能够读取显示在屏幕上的助记词。

Ledger表示，其官方的“Genuine Check”（正品验证）功能无法排除此类物理篡改的可能性。这意味着经过修改的设备在外观和行为上可能与正常设备无异。

此次事件揭示了供应链安全问题，而非Ledger密码学算法存在缺陷。即使软件防御保持完整，额外的物理组件仍可能导致用于恢复钱包的助记词泄露。

损失规模与用户指导建议

Ledger尚未确认损失的具体规模。截至10月9日披露的所有已确认损失均与通过CryptoBilis分发的设备有关，但受影响用户总数和整体损失金额尚未得到最终核实。

外部机构估算的损失数额较高。链上取证公司Bitquery指出，至少在六个区块链网络上造成的损失超过9,000万美元，其中Tron网络约占7,050万美元，比特币和以太坊占据了剩余的大部分金额。其他媒体报告的损失数字在8,600万至9,300万美元之间，因此如果后续盗窃行为与同一批设备相关联，总损失可能超过1亿美元。

CryptoBilis已暂停销售Ledger产品。Ledger建议通过该经销商购买未初始化设备的客户不要进行初始化设置。对于已经初始化了受影响设备的客户，应立即将资产转移至新设备，并生成新的助记词。由于助记词本身可能已经泄露，在新硬件上恢复旧助记词并无帮助。

此外，Ledger为在其他渠道购买设备的担忧客户提供了一份检查指南，警告称拆开设备可能会造成损坏，并建议用户首先备份其助记词。直接从制造商购买仍是避免硬件被篡改的最可靠方式。