「每個人都會被駭」：Ledger 的警告讓錢包安全面臨考驗

Ledger 執行長 Pascal Gauthier 警告每個人最終都會被駭，此番言論是在攻擊者將隱藏元件植入正品硬體錢包以竊取助記詞之後發表的。這起事件將安全問題的焦點從儲存在晶片中的私鑰轉移開來。持有者還依賴於裝置完好無損地送達他們手中、備份保持私密，以及螢幕準確說明他們即將批准的內容。

「每個人在某個時刻都會被駭。完美的安全並不存在，」Ledger 執行長 Pascal Gauthier 在 11 月 10 日的彭博社採訪中表示。他說這項規則既適用於 Ledger，也適用於其他公司。

向他提出的問題涉及與被改動的硬體錢包相關的盜竊事件。Ledger 此前已描述過一種配送攻擊，其中犯罪分子購買正品裝置、添加隱藏元件，然後將其退回銷售管道。該公司表示，這些元件旨在收集設定過程中顯示的助記詞。

這條途徑之所以重要，是因為它觸及了旨在裝置遺失後拯救持有者的資訊。一旦他人掌握了所需的復原材料，他們就可以在其他地方重建存取權限。原始錢包可以繼續運作，而持有者不再擁有專屬控制權。

這項警告伴隨著對 Ledger 業務的辯護

Ledger 執行長 Pascal Gauthier 利用這次採訪主張，將託管分散到各個持有者身上，可降低大型交易所中存在的風險集中度。他將採訪者所討論的損失與規模大得多的幣安盜竊案相比，並表示硬體錢包產業所損失的資產佔其保護資產的比例較小。

這些數字是他的比較性主張。要評估損失率，需要一致的期間、對受保護資產的明確衡量標準，以及一套公認的盜竊歸因方法。大型交易所報告的資產與硬體錢包製造商對客戶所控制資產的估計，描述的是不同的人群。

客戶可以在多個裝置上使用相同的簽名材料。一個錢包可以在多條鏈上持有資產。製造商可能看不到所有這些餘額，而交易所通常維護自己的客戶帳本。這使得在比較百分比時，分母顯得格外重要。

這次採訪還包含了關於攻擊者透過 AI 變得更有能力的論點。這可能與網路釣魚和冒充有關，犯罪分子試圖說服某人洩露秘密或批准某項操作。它並不能解釋特定被改動裝置中所使用的物理途徑。

這項警告的實際價值在於其後的失效。關於最終會被攻破的一般性陳述，無法告訴持有者哪個動作會使其資金面臨風險。已記錄的案例更具體地說明了什麼被暴露，以及為什麼一些熟悉的安全防護措施未能阻止它。

正品裝置可能被加裝額外硬體

Ledger 十月的回應將改裝定位在製造之後。該公司表示，攻擊者保留了正品裝置，並加裝了旨在於設定過程中擷取備份的獨立硬體。該公司將此攻擊描述為發生在配銷通路中。

Crypto.news 報導了 Ledger 確認在受影響客戶的裝置中發現未經授權的植入物。該實體發現是關於所檢驗單位的證據。區塊鏈研究人員的估計描述了更大範圍的疑似損失，應理解為其追蹤結果。

正品元件之所以重要，是因為真偽測試可能在其所檢查的元件上通過。若攻擊者保留該元件不變並加裝另一電路，該檢查可能確立該零件的來源，卻無法確立不存在額外電子元件。

因此，擁有者可能收到一台在日常使用中表現正常的裝置。攻擊者的目標可能是在設定過程中觀察某個敏感時刻，而非改變每一筆交易。Ledger 已公布的螢幕連接技術發現描述了該途徑。若螢幕顯示正確的助記詞，而額外的觀察者能複製螢幕所接收的內容，這些助記詞便可能外洩。

這改變了客戶對銷售通路所提出的問題。授權經銷商關係識別的是商業通路。此事件說明了為何庫存處理、退貨以及從製造商到買家的路徑也應納入安全模型。

Ledger 的回應表示，退貨的裝置絕不可再轉售，並描述了更嚴格的庫存處理方式。Crypto.news 報導了新的零售規則，其中包括旨在減少替換或竄改展示產品機會的變更。這些措施針對的是裝置進入擁有者手中的途徑。

Trezor 的警告涉及另一台被通報的裝置

Trezor 的10 月 30 日公告描述了一台透過 CryptoBilis 購買的 Safe 5。該公司已收到照片並採訪了通報者，但表示尚未在其自家實驗室檢驗該裝置。

該報告描述了在主機板與螢幕之間的一塊額外電路板，帶有蜂巢式通訊元件與天線。Trezor 認為其可信度足以警告受影響的買家。該公司的說明使購買途徑成為其預防性回應的核心。

該狀態必須持續附屬於該報告。Ledger 所檢驗的植入物與 Trezor 所通報的裝置，在已公布的公告中處於不同的調查階段。共用同一經銷商本身並不能確立透過該經銷商售出的每一台裝置都遭到變更。

Crypto.news 對Trezor 警告的報導說明了該公司為符合資格的買家提供替換硬體。該提供與遷移建議針對的是透過該途徑供應之裝置所帶來的曝險。它們有別於對該公司所製造每一項產品的一般性召回。

該公司要求客戶建立一個新的錢包，並在其指引適用的情況下建立新的備份。這項要求源於該疑似元件可能觀察到的內容。如果備份本身已經洩露，舊簽名設定的另一份副本並不能消除攻擊者的存取權限。

備份可以繞過舊裝置的 PIN

PIN 保護的是對特定裝置的存取。恢復短語讓所有者能在遺失或損壞後還原錢包。同樣的功能也為攻擊者提供了一條繞過舊裝置的途徑，前提是所需的恢復材料被竊取。

在替代簽名器上還原錢包，創造了另一種使用相同金鑰的方式。它並不會撤銷原始裝置中或攻擊者副本中的金鑰。在資金被轉移到新的安排之前，它們在相同條件下仍然可以被花費。

這種區別在普通的恢復過程中是可見的。遺失裝置的人可以在不要求網路授權新硬體的情況下恢復存取。鏈上檢查的是交易是否滿足花費條件，而不是哪個實體裝置產生了簽名。

更改 PIN 同樣只影響本地的簽名器。它不會改變持有備份的人在其他地方所能衍生的內容。新的外殼、恢復出廠設定或不同品牌的裝置，都可能讓原始錢包的金鑰繼續控制相同的資產。

Trezor 的密碼短語文件描述了一種額外的秘密，可以從備份中衍生出一個獨立的錢包。使用者需要精確的組合才能存取該錢包。遺失密碼短語也可能使合法所有者無法恢復它。

該功能增加了一項依賴；其保護取決於秘密如何被輸入，以及一個被入侵的設定能觀察到什麼。它無法替代對事件暴露了哪些材料的理解。如果攻擊者擁有錢包所需的一切，改變所有者儲存其中一份副本的位置，並不能使攻擊者的副本失效。

不同的備份格式可以保留相同的金鑰

有些錢包允許所有者將恢復材料分割成份額。一個閾值決定需要多少份。根據方案的不同，這可以降低遺失或暴露單一儲存份額的風險。

Trezor 的多份額備份指引解釋說，為同一個相容錢包建立新的備份安排並不會使先前的備份失效。兩者都可以繼續作為通往同一錢包的途徑。

這是對原本有用的儲存變更的一個重要限制。更好地分配新的份額可以改善所有者應對未來遺失或被竊的方式。它並不能取消另一個人已經複製的完整備份。

多簽錢包解決的是問題的另一部分。其花費規則可以要求多個獨立金鑰來授權一筆交易。如果其中一個被入侵，攻擊者仍然需要該安排下的剩餘閾值。

簽名者在實踐中必須是獨立的。從同一個單簽名種子還原的幾個裝置，是同一個權限的副本。它們不會產生多個獨立的批准。將多個金鑰置於一個人的直接控制之下，也可能集中一個在紙面上看似分散的閾值。

相關的問題是攻擊者需要彙集什麼。一台被竊的裝置、一個被複製的短語和一台被入侵的共享電腦，可能以不同方式重疊。錢包的設計很重要，其金鑰和備份資訊的實際處理方式同樣重要。

有效的簽名仍可能授權錯誤的操作

另一類盜竊不需要竊取恢復短語。使用者可以保持對金鑰的專有佔有，並簽署一項請求，賦予他人對某項資產的權力。由此產生的交易在鏈的規則下可能是有效的。

簡單的轉帳授權的是指定的收款人和金額。代幣授權可以賦予花費者日後轉移資產的權限。更改帳戶的權限可以改變誰能代表該帳戶行事。即使它們透過同一個錢包連接呈現，這些也是不同的後果。

硬體簽名器可以保護金鑰不被提取，同時仍然執行所有者批准的指令。金鑰的隔離無法告訴所有者網站的描述是否與正在簽署的請求相符。這使得確認之前顯示的資訊成為保護的一部分。

Ledger 的清晰簽名文件說明了中繼資料的使用方式，讓裝置能以可讀形式呈現支援的交易詳情。涵蓋範圍取決於鏈、請求及相關整合。支援的裝置並不會自動讓每一種可能的互動都變得可讀。

擁有者也需區分簽名與已廣播的交易。某些已簽署的訊息之後可能由他人提交。簽名後關閉瀏覽器視窗，未必能移除該簽名所建立的權限。

撤銷代幣授權可在擁有者仍控制帳戶且能及時提交變更的情況下，限制該授權的未來使用。它不會逆轉先前的轉帳。若根簽名材料遭洩露，攻擊者可能得以重新建立授權。

螢幕是決策的一部分

交易可能透過遭入侵的電腦或網站送達簽署者。顯示器的用意是讓擁有者有辦法檢查裝置被要求核准什麼。其效用取決於是否顯示決定結果的詳情。

對於轉帳，這些詳情包括資產、目的地與金額。對於合約互動，重要資訊可包括花費者、額度或被授予的角色。熟悉的應用程式名稱，其資訊量不如該請求將授權的動作。

盲簽名將更多解讀留在裝置之外。使用者可能看到無法有意義地驗證的資料，並依賴主機應用程式來解釋。清晰簽名可為涵蓋的請求改善該呈現方式，但仍需要擁有者閱讀後果並判斷是否符合其意圖。

模擬是另一層。服務可針對特定狀態估算交易將執行的動作。該估算有助於辨識資產移動或權限，而實際執行仍取決於送達網路的狀態與請求。

配送攻擊也對螢幕提出另一個問題。新增的觀察者可鎖定設定過程中顯示的資訊，即使交易顯示之後是準確的。保護從金鑰到顯示器的路徑，以及保護備份位址的機密性，處理的是裝置生命週期中不同的時刻。

Ledger 執行長 Pascal Gauthier 在彭博訪談中宣傳了未來產品的螢幕架構。產品聲明可指出公司打算改變什麼。其實際對已知攻擊的防護，需對照交付的設計及攻擊可運作的條件來評估。

凍結代幣是復原的一步

轉帳之後，可用的應對取決於資產及其去向。某些代幣發行者可透過其合約限制餘額。比特幣等原生資產則沒有相同的發行者控制凍結機制。

凍結可阻止指定的代幣餘額移動。它本身不會決定誰應收到該餘額，也不會完成對受害者的付款返還。復原可能需要另行的程序來確認索賠、確立權限並分配資產。

攻擊者也可能在凍結生效前兌換代幣。對原始代幣的權力，並不自動控制交換後收到的不同資產。即使特定干預時點已過，交易歷史仍可能保持可見。

若資金流向託管機構的帳戶，託管機構可擁有另一種控制。它可依其政策及適用法律限制提款。發送給服務的通知、帳戶限制與資金返還，仍是各自獨立的事件。

在閱讀損失總額時，這項區別很有用。疑似遭竊資金、仍持有於已識別位址的餘額，以及實際返還給擁有者的款項，衡量的是不同階段。替換裝置處理的是未來的硬體使用。它本身不會替換已被取走的資產。

應對者也需要確認帳戶是否仍由擁有者控制。授權有時可以撤銷。變更權限門檻可防止原始金鑰單獨行動。遭複製的備份可讓攻擊者在多條鏈上重建存取權。

為何損失比較需要共同的衡量標準

Crypto.news 報導了 Ledger 執行長 Pascal Gauthier 與前 Mt. Gox 執行長 Mark Karpelès 之間關於改裝裝置警告的爭議。這場分歧凸顯了一個問題：從已確認的機制過渡到關於相對安全性的廣泛陳述。

研究人員可以識別出一組被認為與某項操作相關的地址。這組地址可能隨著追蹤的進展而改變。製造商可以檢查裝置並識別出實體元件。這兩項調查可以相互佐證，而不會產生相同的計數。

一份備份可以控制多個網路上的地址。一個人可以持有數個錢包。因此，地址總數無法直接轉換為遭竄改裝置或受影響買家的數量。在估算製造商所保護的金額時，同樣的限制也適用。

將自我託管與交易所進行比較，也會將不同形式的風險匯集在一起。交易所可能遭受營運入侵、濫用客戶資產或限制存取。個人錢包可能遺失備份、批准有害的請求，或到手時硬體已遭竄改。單一百分比可能掩蓋這些截然不同的途徑。

實際的比較取決於使用者。能夠維護獨立備份並檢查簽署請求的人，處理錢包的方式可能不同於依賴交易所帳戶復原的人。兩種安排都存在風險，這使得有必要了解各自實際的控制與復原路徑。

Ledger 執行長 Pascal Gauthier 的聲明，與這項工作結合時最為有用。植入物案例的證據將配送與備份暴露置於與晶片安全相同的討論中。簽署案例則將可讀的批准資訊與金鑰隔離並列。

當安全性被視為一連串流程時，會有什麼改變

錢包送達所有者手中、建立或還原金鑰、記錄備份並簽署請求。每個步驟的失敗都可能賦予攻擊者不同種類的權限。相應的回應取決於所有者是失去了保密性、批准了權限，還是失去了存取權。

新裝置可以解決損壞的簽署器。一旦資產轉移完成，新的金鑰組可以消除對已暴露備份的依賴。撤銷可以處理有效的批准。繼承或復原計畫可以幫助授權人員重新取得存取權，而不必將立即的權限交給所有知道其存在的人。

當事件被精確描述時，這些行動會變得更加清晰。擷取設定字詞的植入物所需的回應，與要求簽名的偽造頁面不同。裝置真偽驗證結果所回答的問題，與檢查是否加裝電子元件的問題不同。

Ledger 宣布的零售變更以及 Trezor 發布的遷移建議，證明了這一點。這些公司處理了硬體來源以及哪份備份繼續控制錢包的問題。接下來的技術揭露可以顯示，未來的設計與配送控制將封閉這條路徑中的多少部分。

設定與日常使用有不同的暴露點

復原短語的價值異常高，因為它可以將一個錢包的設定與對許多後續交易的控制連結起來。一個記錄一次短語的元件，可以讓攻擊者有時間等待所有者存入更多資產。在此期間，所有者可能看到裝置正常運作。

有害的批准有不同的時間表。攻擊者可能需要所有者在帳戶包含特定代幣之後進行簽署。該權限可以一直保留，直到被使用或依合約規則被撤銷。因此，損失可能在要求批准的那個頁面關閉很久之後才發生。

帳戶權限變更可能更加持久。如果區塊鏈允許閾值與角色，簽署的變更可以改變哪些金鑰被允許行動。所有者可能仍持有其原始秘密，卻缺乏獨自進行補救交易所需的權重。

這些機制需要不同的事件記錄。疑似短語洩漏始於哪些錢包是從該材料衍生而來，以及哪些資產仍處於那些金鑰之下。批准調查始於花費者、合約與額度。權限調查始於帳戶目前的簽署規則。

同樣的區別解釋了為何受影響地址的清單起初可能不完整。一個短語可以產生多個帳戶與地址。所有者或調查人員可能稍後發現另一條受影響的鏈。可見的資金流失可以揭示控制權，卻不會揭示每一個剩餘的目標。

將儲蓄與應用程式使用分開會改變風險暴露

一個人可以將一個錢包用於很少移動的資產，另一個用於與應用程式互動。第二個帳戶可以只持有預期活動所需的資產。如果代幣授權適用於該帳戶，則單獨帳戶中的資產不在該權限範圍內。

這種好處取決於金鑰的配置方式。從同一暴露的恢復材料衍生出的多個帳戶可能仍可被同一攻擊者觸及。錢包介面中的區分不一定會產生獨立的秘密。

多簽儲蓄安排可以在資金移動前增加一個門檻。應用程式錢包可能使用更簡單的簽名路徑來處理頻繁交易。權衡之處在於需要額外的工作來保持儲蓄簽署者和恢復資訊對授權人員可存取。

門檻也可能被共同的基礎設施削弱。如果多個簽署者依賴同一台被入侵的主機來描述交易，他們可能會批准同一個誤導性的請求。獨立的金鑰減少了一條損失途徑，而可讀的交易詳情則解決了另一條。

重點是識別一次入侵能觸及什麼。授權應按其範圍來評估。備份應按其能重建的帳戶來評估。共享的裝置或服務應按其執行的簽署和恢復角色來評估。

該事件為冒充創造了第二次機會

Trezor 的公告明確警告，客服永遠不會要求提供恢復短語。更換流程涉及實體裝置和客戶的購買途徑。將短語輸入遠端表單可能讓他人獲得恢復錢包的手段。

簽名請求可以被偽裝成不同類型的幫助。頁面可能要求所有者證明控制權或驗證資格。相關問題仍然是該請求授權了什麼，以及它是否創造了可轉移的權限，而不僅僅是顯示一個地址。

請求的來源很重要，因為現有客戶可能有正當理由期待更新。在其他地方暴露的聯絡資訊可以使訊息更具說服力，但並不能證明它來自製造商。所有者與賣家的先前關係並不能驗證每一則後來帶有其名稱的通訊。

因此，回應計劃應透過製造商發布的指引使下一步易於識別。對於受影響的買家來說，購買期間、更換條款和客服途徑比關於安全性的一般保證更有用。

未來產品必須證明什麼

新的架構可以解決已知的攻擊途徑。要評估這一主張，相關問題是攻擊者先前能觀察到哪些資訊，以及現在哪個組件保護了它。比較需要沿著該路徑進行，而不是僅依賴產品類別。

軟體更新也是如此。更新可能改善交易解讀或為另一個應用程式增加覆蓋範圍。不能假設它能移除已新增的實體硬體或撤銷已從先前設定中複製的短語。

有用的技術揭露會解釋攻擊者的存取權限、觀察到的資料以及提取所需的條件。然後它可以展示修訂後的設計如何改變其中一個或多個條件。這讓使用者能夠區分他們現在可以使用的保護與承諾在未來硬體中實現的功能。

Ledger 執行長 Pascal Gauthier 十一月的評論將該未來工作與現有回應並列。當前的指引仍然取決於所有者的裝置、備份和已簽署的權限。未來的產品將以其如何保護這些相同的權限要點來評判。

值得關注的重點

• 技術揭露：已公布的檢驗結果可顯示植入物觀察到什麼，以及裝置的哪些部分維持不變。
• 零售管控：購買途徑、退回庫存的處理方式與更換條款，決定這項回應如何傳達到受影響的買家。
• 簽名覆蓋範圍：錢包與應用程式的支援程度，決定哪些請求能顯示可讀的資產異動與權限。
• 損失歸因：裝置檢驗發現與基於地址的追蹤，應先各自界定其涵蓋的群體，再合併為損失估計。
• 追回交易：返還的資產與有紀錄的分配，確立持有人在任何凍結或限制之後實際追回了什麼。

常見問題