Ledger 于 2026 年 10 月 15 日为其授权零售商推出了新的安全要求，此前攻击者在正版加密货币钱包中安装了隐藏的电子元件，以窃取用户的恢复短语并访问其资金。
摘要
- 在犯罪分子改装正版硬件钱包以窃取加密货币后，Ledger 推出了更严格的经销商规则。
- 隐藏的植入物在设置过程中捕获钱包恢复短语，并通过蜂窝网络传输敏感信息。
- Ledger 在调查受损设备期间暂停了东南亚和香港的授权经销商销售。
- 安全团队检查了零售和仓库设备，报告在其检查的样本中没有受损设备。
- Ledger 指示零售商停止展示钱包，并禁止无例外地转售退回的设备。
硬件钱包制造商证实，攻击者购买了正版设备，对其进行了改装，并通过东南亚的分销渠道将其重新投入流通。Ledger 已暂停该地区的经销商销售，检查了零售店和仓库中的设备，并开始与执法部门合作追踪被盗资金。
该公司坚称其内部系统、操作软件和安全芯片未受到损害。调查人员正在继续确定攻击的全部范围，包括改装设备如何进入市场。
Ledger 钱包攻击涉及隐藏的恢复短语植入物
Ledger 的调查发现，攻击者花了数月时间准备这次行动。他们购买了正版硬件钱包，打开设备并插入了定制的电子元件，旨在在设置过程中捕获恢复短语。
恢复短语通常包含 24 个单词，允许用户恢复对加密货币钱包的访问。任何获得这些单词的人都有可能在其他设备上重新创建钱包并转移其资产。
攻击者利用了恢复短语出现在设备屏幕上的那一刻。一个隐藏组件收集了这些单词，并将其传输到犯罪分子控制的基础设施。
在 10 月 13 日的技术更新中，Ledger 的 Donjon 安全团队解释说，该植入物使用微控制器读取短语，并使用嵌入式 SIM 卡通过 LTE 蜂窝连接传输信息。
该公司表示，该植入物独立于设备的 Secure Element 运行，后者保护敏感的加密信息。调查人员没有发现恶意组件修改操作系统或更改交易签名的证据。
早先对 Ledger 钱包内隐藏芯片的调查记录了未经授权的电子设备如何在不改变设备正常签名功能的情况下暴露恢复短语。
Ledger 的最新声明描述了一次有组织的犯罪行动，涉及设备采购、分销安排以及收集被盗钱包凭证的基础设施。
该制造商声称该组织花费了数百万美元准备这次攻击。它没有提供财务明细或指明责任人。
据报道，攻击者在 10 月 9 日的一次协同盗窃行动中使用了收集到的恢复短语来访问多个钱包。
尽管独立的区块链调查人员估计损失超过 8600 万美元，但 Ledger 尚未核实被盗总金额或受影响客户的数量。
Ledger 暂停东南亚地区的钱包销售
在发现该情况后，Ledger 要求东南亚各地及香港的授权经销商和分销商暂停设备销售，同时调查人员对受影响的销售渠道进行审查。
限制范围涵盖印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚和香港。
在东南亚运营的经销商 CryptoBilis 此前曾与涉及被改装设备的已确认案例有关联。
在有报道称客户资金丢失后，该公司暂停了硬件钱包的销售。
此前关于 CryptoBilis 钱包调查的报道记录了 Ledger 发现未经授权的植入物及其对客户投诉的初步回应。
在收到涉及其他地点的报告后，Ledger 随后将其预防措施扩展到了该经销商之外。
在德国，在有报道称客户设备中被植入后，MediaMarkt Saturn 停止了通过其实体店和在线平台销售 Ledger 设备。
Ledger 表示，德国案例并未导致任何已确认的客户资金损失。
该事件促使德国单独暂停了 Ledger 钱包销售，同时该公司审查设备并调查相关情况。
在 10 月 15 日的更新中，Ledger 表示其调查人员已从包括德国在内的不同市场的商店购买了设备，并将其拆开进行实物检查。
该公司检查了来自仓库的样本，并筛查了其自身部分库存。
据 Ledger 称，在这些检查中检查的样本里未发现未经授权的组件。
然而，该公司未披露检查了多少台设备，因此可能受影响产品的总数仍未得到确认。
Ledger 将该事件描述为“一次局部化分销攻击”，并坚称其制造系统不应对此次入侵负责。
调查尚未准确确定每一台受影响设备是在何处被改装的。
Ledger 为硬件钱包零售商制定新规
作为回应的一部分，Ledger 已命令授权零售商改变其存储和销售硬件钱包的方式。
零售商必须停止将 Ledger 设备摆放在展示货架和柜台上。相反，他们必须将产品存放在仓储区域，并且仅在购买发生时将其交给客户。
该公司立即实施了这些要求，并解释称这些措施旨在减少未经授权处理的机会。
Ledger 提醒授权卖家，退回的设备绝不能再次销售，即使其包装看起来未开封或产品看起来未使用过。
该规则本就存在，但 Ledger 已指示分销商无例外地遵守。
每当客户报告异常产品或可能可疑的硬件时，零售商必须及时通知制造商。
在调查继续进行期间，该公司正在收紧对其授权分销网络的监督。
Ledger 表示，其安全团队开展了公司历史上规模最大的内部调查，并动用了多个部门。
来自 Ledger Donjon 的专家拆解了回收的植入物，并检查其运作方式，以确定攻击者如何收集恢复短语。
在调查期间，该制造商与安全研究人员及行业合作伙伴合作，其中包括 SEAL_911。
据 Ledger 称，这些团队正在与执法部门合作，追踪被盗资金并识别用于收集钱包凭据的基础设施。
该公司尚未披露这些努力所带来的逮捕、正式刑事指控或追回资金。
Ledger 表示，当调查人员能够安全发布其发现时，该公司打算公布更多技术信息。
Ledger 计划进一步防范钱包篡改
除了立即实施的零售限制之外，Ledger 正在开发额外的产品安全措施，旨在使物理篡改变得更加困难。
该公司尚未提供技术规格、受影响的产品型号或引入这些保护措施的时间表。
Ledger 表示，它将与其他硬件钱包制造商和销售商分享调查结果，以便他们能够检查其产品中的类似风险。
已经使用了可能受影响钱包的客户被建议将其加密货币转移到一个可信设备上，并使用新生成的恢复短语。
如果攻击者已经获得了旧的恢复短语，那么在替换设备上恢复该旧恢复短语将无法保障资金安全。
Ledger 的安全指南警告用户，切勿向任何声称代表客户支持的人透露其恢复短语。
该公司强调，其员工不会通过消息、电话或网站索取恢复词。
在 10 月 15 日的公告中，Ledger 承认调查仍在继续，并且还有更多安全工作需要完成。
该制造商重申，一旦调查允许披露，它打算发布有关此次攻击以及犯罪分子所使用方法的更多细节。
