Ledger 首席执行官 Pascal Gauthier 与 Mt. Gox 前负责人 Mark Karpelès 就有关被改装硬件钱包的警告公开发生争执，这些警告涉及估计约 9000 万美元的加密货币盗窃案。
摘要
- Ledger 首席执行官 Pascal Gauthier 在公司对被篡改钱包的警告遭到批评后，向 Mark Karpelès 提出质疑。
- Karpelès 指出了一份三月份的安全指南，但其九月份的更新使原始内容变得不确定。
- Ledger 承认，当原始安全芯片仍然存在时，其 Genuine Check 无法检测到添加的间谍组件。
- 研究人员估计损失超过 9000 万美元，尽管 Ledger 尚未公开确认最终被盗金额。
- 在调查人员发现设备被改装以远程捕获钱包恢复短语后，该公司暂停了 CryptoBilis 的销售。
在 10 月 17 日于 X 上的一次交流中，Karpelès 质疑该钱包制造商是否在客户报告涉及通过东南亚经销商 CryptoBilis 销售的设备造成损失之前，已足够清楚地传达了复杂间谍植入物的危险。Gauthier 为 Ledger 的安全工作进行了辩护，并对这位前交易所高管的批评提出质疑。
这场争议是在一台正品 Ledger 设备内部发现未经授权的电子元件之后发生的。调查人员发现，额外的硬件可以在设置过程中捕获钱包的 24 词恢复短语，并通过蜂窝连接将其传输出去。
研究估计疑似损失超过 9000 万美元。Ledger 尚未将该数字确定为最终核实总额，而 Karpelès 关于早期警告本可防止这些损失的说法仍未得到证实。
Ledger 首席执行官反驳 Karpelès 对钱包警告的批评
这场分歧始于 Karpelès 质疑 Ledger 早先就其硬件钱包物理改装所作的沟通。
在 10 月 17 日的一篇帖子中，他纠正了此前关于 Ledger 在最新事件之前没有讨论过此类植入物的说法。
Karpelès 承认，该公司在三月份发表了一篇安全文章，涵盖了与被篡改设备相关的风险。然而，他辩称，鉴于后来发现的设备的复杂性，仅在教育板块发布指南是不够的。
他表示，更醒目的警告本可以防止超过 9000 万美元的损失。Gauthier 回应称，公司为保护客户做了大量工作，外界应区分确凿证据与猜测。这位 Ledger 首席执行官写道，这项工作很艰难，他承认 Karpelès 对讨论的贡献，并要求他仅就自己能够证实的内容发表评论。
当 Gauthier 提到 Karpelès 此前对失败的 Mt. Gox 交易所的领导时，交流变得更加对抗。根据随争议提供的帖子，Gauthier 写道：“来自 Mt Gox 首席执行官……得了吧，老兄。你可不是什么白衣骑士。现实点吧。”
Mt. Gox 在 2014 年因大量比特币损失而崩溃，使债权人面临漫长的追偿过程。Karpelès 回应称，他自己在一家大型交易所失败中的经历，正是人们有理由期望处理客户资产的公司进行更强有力的安全沟通的原因。
这场公开分歧涉及 Ledger 对威胁的应对。它并未证实该公司故意隐瞒了有关 CryptoBilis 攻击的信息。
三月份的 Ledger 指南引发对其早已知情的质疑
争议核心的安全文章标题为安全购买 Ledger 签名器的最佳实践。Ledger 的网站将其原始发布日期列为 2026 年 3 月 6 日，最新更新日期为 9 月 18 日。
当前版本解释了犯罪分子在硬件钱包到达客户手中之前干扰它们的几种方式。内容涵盖伪造设备、预置恢复短语发货的钱包，以及离开工厂后被篡改的正品设备。
其关于物理篡改的部分描述了攻击者添加未经授权的组件，这些组件可以捕获钱包设置期间显示的信息。
该页面包含被改装电子设备的图片，包括电路板和隐藏在钱包硬件内部组件的示例。
Karpelès在论证Ledger在10月披露之前数月就已遇到复杂植入设计时，指出了这些插图。
然而，该文章9月的修订留下了一个未解的问题。当前可访问的版本并未确定每张照片或技术警告是何时添加的。在没有3月发布版本的留存副本或详细修订历史的情况下，这些图片无法独立证明Ledger当时对特定的CryptoBilis攻击了解什么。
了解修改硬件钱包的通用方法，与有记录表明知晓犯罪分子已将此类设备放入经销商库存，并不相同。现有材料无法确定Ledger首次得知受影响的CryptoBilis设备的时间，也无法确定该安全文章是否指的是那些特定的植入物。
因此，争议部分集中在发布通用安全指南与发出与特定威胁相关的警告之间的区别上。
正品检查无法检测每一个隐藏植入物
Ledger自己的文档证实了其设备认证系统的一个重要局限。该公司的正品检查验证安全元件（用于执行敏感钱包操作的受保护芯片）的加密身份。
在设置过程中，Ledger的软件向设备发送验证请求。安全元件使用与其原始制造过程相关联的唯一加密签名进行响应。
成功响应确认设备包含正品安全芯片。该检查并不检查钱包内部的每一个物理组件，也不确认生产后没有人修改过设备。Ledger的安全指南指出，当原始安全元件保持完好时，认证过程无法检测未经授权的物理添加。
在CryptoBilis案例中，据报道恶意电子设备与合法硬件并行运行，使设备的原始安全功能保持正常。调查人员描述了一个位于屏幕附近的植入物，可以捕获初始化期间显示的恢复词。
恢复短语允许钱包所有者恢复对加密货币地址的控制。任何获得完整短语的人都有可能在没有原始设备的情况下访问相关资金。
据报道，该植入物使用蜂窝连接传输捕获的信息，避免了攻击者在设置后需要亲自取回钱包。
Ledger表示，这一发现并未证明其安全元件、操作系统或交易签名过程遭到入侵。
据报道的攻击反而涉及在分销过程中对设备的物理干扰。crypto.news早前对该植入物的报道详细说明了附加电子设备如何在不更换受保护安全芯片的情况下读取恢复词。
另一篇关于调查的报道记录了Ledger确认客户设备中存在未经授权的组件。
CryptoBilis调查在损失估计存在争议的情况下继续进行
Ledger开始调查通过CryptoBilis（一家在东南亚运营的经销商）购买硬件钱包的客户的投诉。
10月9日，该公司要求CryptoBilis暂停销售和发货，同时调查人员审查有关加密货币丢失的报告。建议在过去90天内从该经销商处购买设备的客户不要初始化未使用的钱包。
Ledger 建议已设置设备的受影响客户将资金转移到在可信设备上使用新恢复短语生成的钱包中。其调查随后确认，至少有一个被检查的钱包包含能够收集恢复信息的未经授权的电子元件。随着调查人员识别出可能相关的地址和交易，不同独立估计所报告的失窃总额有所不同。
Galaxy Research 在其 10 月 16 日的分析中描述了约 9100 万美元的疑似损失。该数字不应被视为通过每一台被改装过的 Ledger 设备最终确定被盗的金额，也不应被视为对早先警告本可防止什么损失的经核实衡量标准。德国一台被篡改钱包的报告促使零售商在调查持续期间检查其分销安排。因此，该事件既涉及对经销商监管的疑问，也涉及单台设备内置的技术防护问题。
Ledger 当前的购买指南建议直接从公司或通过授权卖家购买，检查是否有可见的篡改痕迹，并通过官方软件完成认证。它警告称，授权分销和成功的正品检查并不能保证钱包从未被物理改装过。
该公司有记录的规则禁止授权经销商将退回的设备重新放回库存用于转售。其安全指南于 9 月 18 日更新，比 10 月公开的 CryptoBilis 调查开始早了数周。
