Ledger 硬件钱包真的被动手脚！官方确认装置遭植入

Ledger 10 月11 日确认，在调查透过东南亚经销商CryptoBilis 购买装置后遭遇资产失窃的案件时，已在至少一名受影响用户的硬件钱包内发现「未授权硬件植入（unauthorized hardware implant）」。这是事件爆发后，Ledger 首次正式确认受害装置存在实体硬件窜改。

与此同时，链上分析公司Bitquery 最新重新追踪相关地址后，估计疑似失窃规模已提高至约9,320 万美元，涉及315 个钱包，横跨Bitcoin 、 Ethereum 、 Tron 、 BNB Chain 、 Polygon 等多条区块链。

不过，9,320 万美元目前仍是第三方链上分析结果，并非Ledger 官方确认的损失数字。

Ledger 首次确认：受害装置真的被加装硬件

这起事件最重要的新进展，是实体窜改已不再只是猜测。 Ledger 表示，一名受影响用户的装置内确实发现额外的未授权硬件元件，公司正持续联络其他可能受影响用户，并与执法与资安团队合作调查。

Ledger 同时强调，目前没有证据显示Ledger 本身的安全基础设施、系统或服务遭到入侵。因此，现阶段事件比较接近供应链或实体装置窜改，而不是Ledger 的伺服器、软件或Secure Element 安全晶片本身遭远端破解。

Tibane Labs 对Ledger Nano X 植入装置的技术拆解，揭露了一种相当精密的攻击方式。研究发现，攻击者并没有尝试破解Ledger 最重要的Secure Element，而是在真正的Ledger 装置内额外加入一块微型电路板，直接监听Secure Element 与OLED 萤幕之间的资料线。

当使用者第一次设定硬件钱包时，Ledger 会在萤幕显示24 字恢复助记词。植入装置可以读取传往萤幕的像素资料，辨识出这24 个英文单字，再透过自身的LTE 行动网路模组、 SIM 卡与天线，将助记词传送给攻击者。一旦攻击者取得完整助记词，就可以在另一台装置重新建立同一个钱包，根本不需要再接触受害者手中的Ledger 。

Genuine Check 也可能照样通过

这种攻击最棘手之处，是被改造的装置仍可能是真正的Ledger 。

Tibane Labs 指出，植入装置不会修改Ledger 的Secure Element，因此原本的安全晶片仍然可以正常向Ledger Live 证明自己是真品。换句话说，使用者可以拿到一台真正的Ledger Nano X，官方Genuine Check 也可能显示正常，但装置内部却已被额外焊上一套监听硬体。

这与传统「买到假Ledger」的情况完全不同。真正的风险是真装置，被人在供应链途中加装了恶意硬件。

攻击技术已进化至少三代。 Tibane Labs 的调查更显示，这类植入并不是一次性的粗糙改装。目前研究人员已掌握至少3 个世代的植入设计。最早的第一代装置仍使用大量手工焊接线材，甚至需要缩小Ledger 原本的电池才能塞进植入板。

到了较新的版本，攻击者已改用客制化柔性电路板（flex PCB），电路形状直接配合Ledger Nano X 原厂测试接点设计，并加入专门的行动网路晶片、 eSIM 与客制化天线。部分元件甚至被涂成与Ledger 原厂主机板相近的颜色，晶片型号也遭磨除。

Tibane Labs 认为，这种设计已不像个人骇客的实验作品，而更接近具有预算、工程能力与大量制造意图的攻击行动。

疑似失窃金额提高至9,320 万美元

Bitquery 最新调查进一步扩大疑似受害范围。截至10 月11 日，Bitquery 表示已追踪到约9,320 万美元疑似遭窃资产，涉及315 个钱包并分布于六条区块链。其中，Tron 生态资产仍占最大部分；Bitcoin 与Ethereum 亦有大量资产被转移。

Bitquery 同时追踪到部分失窃资产后续经Tornado Cash 、 Zcash 及其他交换渠道移动。研究团队指出，截至最新更新，又有1,736 ETH 被送入Tornado Cash 与Zcash 流程。部分资产最后被换成USDC，Bitquery 认为约有535 万美元USDC 位于仍有机会被Circle 冻结的地址。

不过，以上仍属链上归因分析。 Ledger 目前没有确认315 个钱包全部都是同一宗事件受害者，也没有正式确认9,320 万美元总额。

这起事件也已引发稳定币发行商介入。先前链上调查显示，Tether 已针对与疑似失窃案有关的地址冻结约1,000 万美元USDT 。

这也是中心化稳定币与BTC 、 ETH 等原生加密资产的一项重要差异。 USDT 、 USDC 发行商可以透过黑名单冻结特定地址中的代币，但Bitcoin 或原生ETH 一旦被攻击者控制并成功转移，追回难度通常更高。

CryptoBilis 已全面停售所有硬件钱包

事件最初曝光时，Ledger 只是要求CryptoBilis 暂停Ledger 产品的销售与出货。 Ledger 最新表示，CryptoBilis 已进一步停止销售所有硬件钱包库存，直到调查结果更加明朗。

这点尤其受到市场关注，因为CryptoBilis 并不是一般不知名网路卖家，而曾是Ledger 在马来西亚、印尼及菲律宾的正式销售通路之一。因此，如果最终证实相关植入发生在正式零售供应链内，影响的将不只是Ledger，而是整个硬件钱包产业长期依赖的「授权经销商即较安全」信任模型。

Ledger 进一步表示，目前已确认的资产被清空案例，都涉及经CryptoBilis 销售的装置，而Ledger 自营直接销售渠道目前没有发现同类问题。这项资讯进一步把调查焦点集中至特定供应链，而不是Ledger 全球产品线。

Ledger 对近期从CryptoBilis 购买装置的用户仍维持高度警戒。若装置尚未设定，Ledger 建议不要初始化。若已完成设定并把资产存入其中，则应考虑将资产转至可信任的新硬件钱包，而且必须建立一组全新的助记词（new recovery phrase）。只换硬件、继续使用旧的24 字助记词并不能解决问题。如果助记词曾经在遭植入的装置萤幕上显示，就必须假设它可能已遭外泄。

Tags：

转载请注明出处：https://www.eoje.cn/ledgerqb/14961.html