Ledger 於 2026 年 10 月 15 日為其授權零售商引入了新的安全要求，此前攻擊者在正版加密貨幣錢包內安裝了隱藏電子元件，以竊取用戶的助記詞並存取其資金。
摘要
- 在犯罪分子改裝正版硬體錢包以竊取加密貨幣後，Ledger 推出了更嚴格的經銷商規則。
- 隱藏植入物在設定過程中捕獲錢包助記詞，並透過蜂窩網路傳輸敏感資訊。
- Ledger 在調查受感染設備期間，暫停了東南亞和香港的授權經銷商銷售。
- 安全團隊檢查了零售和倉庫設備，報告稱在檢查的樣本中沒有發現受感染的設備。
- Ledger 指示零售商停止展示錢包，並禁止無例外地轉售退回的設備。
硬體錢包製造商 確認，攻擊者購買了正版設備，對其進行改裝，並透過東南亞的分銷渠道將其退回流通。Ledger 已暫停區域經銷商銷售，檢查了零售店和倉庫的設備，並開始與執法部門合作追蹤被盜資金。
該公司堅稱其內部系統、操作軟體和安全晶片未受損。調查人員正在繼續確定攻擊的全部範圍，包括改裝設備如何進入市場。
Ledger 錢包攻擊涉及隱藏助記詞植入物
Ledger 的調查發現，攻擊者花了數月時間準備這次行動。他們購買了正版硬體錢包，打開設備並插入定制電子元件，旨在在設定過程中捕獲助記詞。
助記詞通常包含 24 個單詞，允許用戶恢復對加密貨幣錢包的存取。任何獲得這些單詞的人都有可能在其他設備上重新創建錢包並轉移其資產。
攻擊者利用了助記詞出現在設備螢幕上的時刻。一個隱藏元件收集了這些單詞，並將其傳輸到犯罪分子控制的基礎設施。
在其 10 月 13 日的技術更新中，Ledger 的 Donjon 安全團隊解釋說，該植入物使用微控制器讀取助記詞，並使用嵌入式 SIM 卡透過 LTE 蜂窩連接傳輸資訊。
該公司表示，該植入物獨立於設備的安全元件運行，安全元件負責保護敏感的加密資訊。調查人員沒有發現惡意元件修改操作系統或更改交易簽名的證據。
早先 對 Ledger 錢包內隱藏晶片的調查 記錄了未經授權的電子設備如何在不改變設備正常簽名功能的情況下暴露助記詞。
Ledger 的最新聲明描述了一次有組織的犯罪行動，涉及設備採購、分銷安排以及收集被盜錢包憑證的基礎設施。
該製造商聲稱該團伙花費了數百萬美元準備這次攻擊。它沒有提供財務明細或指認負責人。
據報導，攻擊者在 10 月 9 日的一次協同盜竊行動中，使用收集到的助記詞存取了多個錢包。
儘管獨立區塊鏈調查人員估計損失超過 8600 萬美元，但 Ledger 尚未核實被盜總金額或受影響客戶的數量。
Ledger 暫停東南亞地區的錢包銷售
在發現此事後，Ledger 要求東南亞及香港各地的授權經銷商與分銷商暫停設備銷售，同時調查人員正在檢查受影響的分銷管道。
這些限制涵蓋印尼、新加坡、泰國、菲律賓、越南、馬來西亞及香港。
在東南亞營運的經銷商 CryptoBilis 先前曾與涉及遭改造設備的已確認案例有關聯。
在有報導指出客戶損失資金後，該公司暫停了硬體錢包銷售。
先前關於 CryptoBilis 錢包調查的報導記錄了 Ledger 發現未經授權的植入物，以及其對客戶投訴的初步回應。
在收到涉及其他地點的報告後，Ledger 隨後將其預防措施擴展到該經銷商之外。
在德國，MediaMarkt Saturn 在據報一名客戶的設備中發現植入物後，停止了透過其實體門市及線上平台銷售 Ledger 設備。
Ledger 表示，德國這起案例並未導致任何已確認的客戶資金損失。
該事件促使德國另行暫停 Ledger 錢包銷售，同時該公司審查設備並調查相關情況。
在 10 月 15 日的更新中，Ledger 表示其調查人員已從包括德國在內的不同市場的商店購買設備，並將其拆開進行實體檢查。
該公司檢查了來自倉庫的樣本，並篩查了自身部分庫存。
根據 Ledger 的說法，在這些檢查期間所檢驗的樣本中，並未發現任何未經授權的元件。
然而，該公司並未披露檢查了多少設備，使得可能受影響產品的總數仍未獲得確認。
Ledger 將該事件描述為「一次局部化的分銷攻擊」，並堅稱其製造系統並非造成此次入侵的原因。
調查尚未精確確定每一台受影響設備是在何處遭到改造。
Ledger 為硬體錢包零售商制定新規則
作為其回應的一部分，Ledger 已命令授權零售商改變其存放與銷售硬體錢包的方式。
零售商必須停止將 Ledger 設備放在展示架和櫃檯上。取而代之的是，他們必須將產品保存在儲藏區域，並且僅在購買發生時才將其交給客戶。
該公司立即實施了這些要求，並解釋這些措施旨在減少未經授權處理的機會。
Ledger 提醒授權賣家，退回的設備絕不能再被轉售，即使其包裝看起來未開封或產品看起來未使用過。
該規則早已存在，但 Ledger 已指示分銷商無例外地遵守。
每當客戶報告異常產品或可能可疑的硬體時，零售商必須立即通知製造商。
在調查持續期間，該公司正在加強對其授權分銷網路的監督。
Ledger 表示，其安全團隊進行了該公司歷史上最大規模的內部調查，並動用了多個部門。
來自 Ledger Donjon 的專家拆解了尋回的植入物，並檢查其運作方式，以確定攻擊者如何收集助記詞。
該製造商在調查期間與安全研究人員及業界合作夥伴合作，包括 SEAL_911。
根據 Ledger 的說法，這些團隊正與執法部門合作，以追蹤被盜資金並識別用於收集錢包憑證的基礎設施。
該公司尚未披露因這些努力而產生的逮捕、正式刑事指控或追回資金。
Ledger 表示，當調查人員能夠安全地公布其調查結果時，該公司打算發布更多技術資訊。
Ledger 計劃進一步加強防範錢包遭篡改的保護措施
除了立即實施的零售限制外，Ledger 正在開發額外的產品安全措施，旨在讓實體篡改變得更加困難。
該公司尚未提供技術規格、受影響的產品型號，或推出這些保護措施的時間表。
Ledger 表示，將與其他硬體錢包製造商和賣家分享調查結果，以便他們檢查自家產品中是否存在類似風險。
已使用可能受影響錢包的客戶，已被建議將其加密貨幣轉移到受信任的裝置，並使用新產生的復原短語。
如果攻擊者已經取得舊的復原短語，在替換裝置上還原該舊短語將無法保障資金安全。
Ledger 的安全指引警告使用者，絕不要向任何自稱代表客戶支援的人員透露其復原短語。
該公司強調，其員工不會透過訊息、電話或網站索取復原詞。
在 10 月 15 日的公告中，Ledger 承認調查仍在進行中，且仍有額外的安全工作尚待完成。
該製造商重申，一旦調查允許披露，其打算發布有關此次攻擊及犯罪分子所用方法的更多細節。
