Ledger 已確認在 10 月 10 日針對東南亞經銷商 CryptoBilis 所涉盜竊報告的調查中，於一名客戶的加密貨幣錢包內發現未經授權的硬體植入物，而區塊鏈研究人員估計疑似損失超過 8600 萬美元。
摘要
- Ledger 在 CryptoBilis 調查期間，確認一名受影響客戶的裝置內有未經授權的硬體植入物。
- CryptoBilis 暫停所有硬體錢包的銷售，同時 Ledger 調查涉及亞洲客戶的損失報告。
- Ledger 建議持有 CryptoBilis 裝置的客戶不要進行設定，並建議其他客戶使用全新的復原短語。
- 研究員 Mark Karpelès 報告在馬來西亞發現一台 Ledger Nano X 螢幕後方有可疑電子元件。
- Bitquery 估計 311 個錢包共損失 9290 萬美元的加密貨幣，這些數字未經 Ledger 獨立確認。
Ledger Support 確認 在官方聲明中發現此事，表示該改裝裝置屬於受持續調查影響的一名用戶。該公司表示，CryptoBilis 已作為預防措施停止銷售所有硬體錢包，且 Ledger 正與受影響客戶聯繫，同時與當局合作。目前尚未確定該植入物是否導致了所報告的加密貨幣損失。
這項發現直接證實了至少一台裝置遭到實體篡改，此前已有關於透過該經銷商散布的可疑錢包的警告。
Ledger 確認客戶錢包內有未經授權的植入物
在調查期間，Ledger 在一名受影響客戶的錢包內發現了額外的電子元件。
該公司將該元件描述為「未經授權的硬體植入物」，但未披露具體裝置型號、該元件如何安裝，或是否曾傳輸任何資訊。
10 月 9 日，透過 CryptoBilis（一家在印尼、馬來西亞和菲律賓運營的經銷商）購買 Ledger 產品的客戶中出現了未經授權交易的報告。在收到投訴後，Ledger 對所報告的損失展開調查，並要求該經銷商暫停其裝置的銷售和出貨。
The Block 隨後的一篇 報導 稱，鏈上調查人員最初確認疑似盜竊金額超過 7200 萬美元，而另一項估計則認為損失超過 8600 萬美元。
Ledger 尚未確認任一金額。該公司在最新聲明中強調，未發現任何證據表明其內部安全基礎設施、系統或服務遭到入侵。
「我們沒有跡象表明 Ledger 的安全基礎設施、系統或服務已遭入侵，」該公司表示。
這家製造商正在開發針對實體裝置篡改的額外防護措施，同時調查人員正努力確定該未經授權的元件是如何進入受影響錢包的。
CryptoBilis 在調查期間暫停所有硬體錢包銷售
在 Ledger 發現此事後，CryptoBilis 確認已暫停其全部硬體錢包庫存的銷售。
此次臨時暫停涵蓋該經銷商銷售的所有硬體錢包產品，範圍超出了先前暫停 Ledger 銷售和出貨的要求。
根據 TokenPost 10 月 10 日的一篇 報導，CryptoBilis 將維持暫停狀態，直到調查結束。
Ledger 表示，針對調查及適當的後續步驟，該公司與經銷商保持積極溝通。透過 CryptoBilis 購買裝置的客戶已被指示，若尚未開始設定，請勿開始設定。
對於已使用過這些裝置的客戶，Ledger 建議考慮將其加密貨幣轉移至一個以全新助記詞初始化的新硬體錢包。將現有助記詞移至替換裝置，並無法解決該助記詞可能透過原始硬體外洩的問題。
該公司的聲明未指明任何嫌疑人、宣布逮捕行動，也未提供完成調查的時間表。另外，CryptoBilis 前高層 Arravind Prabu 與 Vimalatheethan 表示，在 2026 年稍早的所有權變更後，他們已移交該業務的營運控制權。
在與研究員 Mark Karpelès 分享並由 Tibane Labs 發布的聲明中，這些前高層表示他們已於三月完成管理交接，且不再控制公司系統或客戶資料庫。
他們的聲明並未確認是誰修改了受影響的裝置，也未說明所有權變更是否與該事件有任何關聯。
安全研究員通報 Ledger 螢幕後方藏有隱藏電子元件
在 Ledger 公開確認硬體植入物之前，前 Mt. Gox 執行長 Mark Karpelès 通報，他檢查了一台從馬來西亞取得、可疑的 Ledger Nano X 裝置。10 月 9 日，Karpelès 描述發現裝置顯示器後方、通常用於保護螢幕的材料內部，藏有額外的電子元件。
他通報指出，該錢包送達時包裝看似完好，這引發了客戶是否能透過例行目視檢查辨識出遭修改裝置的疑問。在公開分享的照片中，該元件似乎含有與錢包原始硬體分離的電子電路。
Karpelès 隨後通報進一步檢查了該改裝，並檢視了其他受影響使用者提供的影像。
Tibane Labs 發布的一份技術報告描述了一種涉及微控制器、蜂窩通訊硬體以及與螢幕內部資料線連接的配置。該分析指出，沿著螢幕連接處放置的元件，可能得以擷取錢包設定期間顯示的資訊。
助記詞通常由 24 個單詞組成，可讓錢包擁有者恢復對加密貨幣資產的存取權。若攻擊者取得這些單詞，攻擊者便可能在不持有原始硬體裝置的情況下重建錢包並授權轉帳。
研究人員指出，能夠讀取傳送至顯示器資訊的植入物，可能在錢包初始化時擷取助記詞。
然而，Ledger 尚未獨立確認所發現的植入物執行了該功能，或該植入物是所通報竊盜事件的元凶。
該公司的官方公告確認了一台受影響裝置遭到實體竄改，但未確認用於存取客戶資金的技術方法。Ledger 過往的安全研究曾檢視涉及未經授權修改錢包硬體的情況。
在 2018 年的一份安全回應中，該製造商討論了具備實體存取權的攻擊者如何修改錢包，並使用額外電子元件干擾其運作。較早的研究涉及不同的攻擊情境，並未建立與 CryptoBilis 調查的關聯。
鏈上研究人員估計疑似竊盜金額達數百萬美元
在調查人員檢視受影響硬體的同時，區塊鏈分析研究人員試圖計算從疑似受害者錢包轉出的加密貨幣價值。
在 10 月 9 日的一項調查中，Bitquery 估計約 9,290 萬美元已從 311 個錢包中被轉出，涵蓋 Bitcoin、Ethereum、TRON、BNB Chain 與 Polygon。
該估計超過了先前報導的疑似損失範圍，即 7,200 萬美元至逾 8,600 萬美元。Bitquery 將差異歸因於其分析中納入了更多錢包與區塊鏈網路。其研究人員通報，疑似損失中最大部分涉及 TRON 上的 USDT 交易，其次是 Bitcoin 與 Ethereum 轉帳。
該報告確認約有 7,050 萬美元的資產從 TRON 錢包轉出，以及 1,680 萬美元的比特幣。Bitquery 利用交易時間和地址關聯性，主張該活動與已控制多個錢包的攻擊者行為一致。
該研究公司識別出跨多個網路的緊密時間交易，並檢查了轉移資產後續的流向。Bitquery 報告稱，約 1,000 萬美元的 USDT 已在與疑似盜竊相關的地址中被凍結。
它進一步識別出涉及加密貨幣兌換和轉帳至 Tornado Cash 的交易，Tornado Cash 是一項用於模糊數位資產交易歷史的服務。該分析仍屬獨立評估。Ledger 尚未確認 Bitquery 的估計損失、受害者人數或關於攻擊者的結論。
來自 PublicAML 的更近期鏈上報告描述了 10 月 10 日涉及疑似被盜 Ether 的額外動向，包括轉帳至 Tornado Cash。該分析估計在另一系列轉帳中有 900 ETH 到達 Tornado Cash，儘管研究人員的錢包歸屬和損失計算仍與 Ledger 確認的發現分開。
Ledger 敦促用戶保護助記詞
Ledger 的調查引發了關於犯罪分子可能利用圍繞經銷商事件的公眾擔憂的警告。該公司告誡客戶應依賴官方溝通管道獲取有關受影響設備、調查和潛在安全措施的資訊。其公開聲明提醒客戶，Ledger 支援人員永遠不會要求他們提供 24 字助記詞。
早先對欺詐性 Ledger 網站的研究記錄了試圖透過虛假錢包驗證請求獲取助記詞的釣魚頁面。
該報告於 10 月 11 日發布，討論了將用戶引導至模仿 Ledger 網站和應用程式的惡意 Google 廣告。該釣魚活動尚未與 CryptoBilis 硬體調查相關聯。在其最新通知中，Ledger 表示正在準備額外措施，旨在使未經授權的物理修改更難實施。
該公司未宣布這些保護措施的發布日期，也未提供任何硬體重新設計的細節。對於尋求指導的客戶，Ledger 將詢問引導至其官方支援網站 support.ledger.com。
其安全團隊表示，受影響用戶將在調查進行期間繼續收到直接溝通，而有關該事件的資訊可透過其賞金計畫提交。
