安全研究人员警告称，一个假冒的 Ledger 网站和应用程序已显著出现在 Google 搜索结果中，试图窃取加密货币钱包恢复短语，与此同时这家硬件钱包制造商正在调查超过 8600 万美元的疑似客户损失。
摘要
- 研究人员警告称，假冒的 Ledger 网站显著出现在 Google 搜索结果中，并索要恢复短语。
- Zscaler 记录了恶意 Google 广告，这些广告将 Ledger 用户通过多个网站重定向至钓鱼页面。
- 有关一百万次访问的说法仍未得到证实，此前的广告数据指的是 Google 本身。
- Ledger 正在调查涉及 CryptoBilis 客户的疑似损失，而研究人员估计被盗金额超过 8600 万美元。
- Ledger 建议用户切勿将 24 个单词的恢复短语输入网站或下载的应用程序中。
Bitcoin News 于 10 月 10 日报道称，安全研究员 Cyber Scrilla 发现了假冒 Ledger 品牌的搜索结果，将用户引导至一个虚假网站和应用程序。据报道，这场冒充活动显示其 30 天内访问量超过 100 万次，尽管该数字尚未被独立证实为恶意网站的实际流量。
此警告发布之前，网络安全公司 Zscaler 在 9 月进行了一项调查，记录了一场使用欺诈性 Google 广告收集 Ledger 恢复短语的独立活动。
假冒 Ledger 网站通过 Google 搜索锁定用户
最新的警告涉及一个旨在模仿 Ledger 官方平台的网站，其中包括一个被伪装成合法钱包软件的应用程序。
根据 Cyber Scrilla 报告的发现，该欺诈网站出现在 Google 搜索结果顶部附近，搜索 Ledger 产品或钱包软件的用户可能会在访问该公司官方网站之前遇到它。
据报道，运营者试图说服访客输入他们的 24 个单词恢复短语，这些短语可用于访问相应钱包中持有的加密货币。Ledger 硬件钱包的设计目的是将私钥保护在物理设备内。然而，任何获得相关恢复短语的人都可以通过兼容软件重建钱包，而无需拥有原始硬件。
所报道的流量数字需要谨慎对待。多家报道重复了一项说法，即该钓鱼网站在前一个月获得了超过 100 万次访问，但并未确认该特定域名的访问量。
Zscaler 在 9 月的调查记录了一次类似的广告展示。其研究人员发现，一则恶意 Google 广告在 google.com 地址旁显示了超过 100 万的月访问量。
这家网络安全公司解释说，该数字似乎指的是 Google 本身，而非钓鱼目的地。这一访问量数字可能使广告对用户显得更可信。
对于新报道的钓鱼网站，尚未确定经过核实的受害者人数或被盗金额。现有证据无法确认 10 月的警告是否涉及 Zscaler 此前调查的同一基础设施。
Zscaler 揭露收集钱包恢复短语的假冒 Ledger 广告
在 9 月 25 日的一项调查中，Zscaler ThreatLabz 揭露了攻击者如何利用欺诈性 Google 广告将 Ledger 用户引导至恶意钱包验证页面。
研究人员最初于 2026 年 8 月审查了该活动，并识别出通过一个 Google 认证广告账户运作的广告。
这些广告针对的是在美国、欧洲和亚洲部分地区搜索与 Ledger 相关术语的用户。经过验证的广告资料和熟悉的品牌形象可能使搜索结果看起来是合法的。用户点击广告后，攻击者会引导他们经过 Google Cloud Storage 和 Vercel，然后使用 Google Sites 显示一个伪造的 Ledger 页面。
在调查期间，Vercel 重定向地址似乎大约每 15 到 20 分钟更改一次，这给试图识别和阻止恶意基础设施的系统带来了额外的困难。
该伪造页面类似于 Ledger 的官方钱包界面，并提供了针对不同操作系统的下载选项，包括 Windows、macOS、Linux 和移动设备。访问者被指示选择设备，并按照看似标准的设置流程进行操作。
随后，该网站显示了误导性的连接和固件更新消息，然后要求用户输入恢复短语以验证设备所有权。
Zscaler 发现，该页面使用了一个包含 2,048 个已识别恢复词的列表，在受害者输入信息时提供建议。一旦提交，恢复短语就会被传输到攻击者控制的 Vercel 域名。
然后，该页面显示一条错误消息，暗示该短语无效，并要求用户再次输入。研究人员观察到，第二次提交的内容也被发送给了攻击者。Zscaler 没有发现该页面执行了合法设备验证的证据。其分析将该过程认定为试图窃取钱包凭据。
Ledger 调查 8600 万美元疑似钱包盗窃案
这一网络钓鱼警告出现之际，Ledger 正在调查涉及通过东南亚经销商 CryptoBilis 购买的设备出现加密货币丢失的报告。
10 月 9 日，Ledger 确认正在审查通过该经销商获取硬件钱包的用户的投诉，该经销商在印度尼西亚、马来西亚和菲律宾运营。
该公司要求 CryptoBilis 在调查继续期间暂停销售和发货。建议在过去 90 天内从该经销商处购买设备的客户不要开始设置这些设备。
对于已经初始化的设备，Ledger 建议用户考虑将其资产转移到一个由新生成的恢复短语保护的新签名设备。区块链研究人员报告了关于疑似损失的不同估计。
链上调查员 tanuki42 识别出超过 7200 万美元的资金被转移到据信与这些盗窃案有关的地址。
另一位研究员 Specter 估计，比特币、以太坊和波场上的疑似损失超过 8600 万美元。
这些数字尚未得到 Ledger 的确认，调查人员也尚未确定受影响钱包的最终数量。
区块链分析公司 Bitquery 于 10 月 9 日进行的另一项独立调查估计，多个区块链网络上的损失超过 9200 万美元，并在其分析中识别出 311 个钱包。
Bitquery 的调查结果代表其自身的追踪估计，不应被视为该公司确认的财务损失。
尽管这两起事件都涉及 Ledger 用户，但研究人员尚未证明 Google 网络钓鱼网站导致了所报告的 CryptoBilis 损失。
经销商调查涉及通过特定分销渠道获得的设备，而已记录的 Google 广告活动则试图通过欺诈网站窃取恢复短语。
Ledger 警告用户警惕虚假钱包验证请求
Ledger 的官方安全指南指出，用户绝不应将其恢复短语输入网站、下载的应用程序或在线验证表单中。
该公司警告称，欺诈性钱包应用程序经常模仿其官方软件，并显示虚假错误消息，以说服用户必须恢复或验证其设备。Ledger 表示，合法的支持人员绝不会索要 24 个单词的恢复短语。
该公司建议直接从其官方网站获取其钱包管理应用程序，并仔细检查网站地址，包括是否存在细微的拼写变化。
2026年2月，另一起针对Ledger和Trezor用户的钓鱼攻击活动涉及携带二维码的实体信件，这些二维码将收件人引导至欺诈性验证页面。
这些信件利用安全警告和账户验证指示，说服用户披露其恢复短语。
8月，另一起类似攻击影响了另一个硬件钱包品牌，当时一名用户报告称通过一个虚假的Trezor谷歌广告损失了资金。
该受害者声称，一条赞助搜索结果将他引导至一个冒充Trezor并收集钱包恢复信息的网站。该案中被盗金额未经独立核实。
Ledger发布的钓鱼防范指南指出，虚假应用程序、欺诈网站、冒充的支持账户以及误导性的设备验证请求，是用于获取恢复短语的常见手段。
该公司建议，若用户认为自己的恢复短语已泄露，应停止使用受影响的钱包凭据，并在仍有可能的情况下，将资产转移至由新恢复短语生成的钱包。
