Ledger เผยเหตุถูกดูดเงินจากวอลเล็ตโยงผู้แทนจำหน่าย CryptoBilis มูลค่าความเสียหายใกล้ 90 ล้านดอลลาร์

Odaily Planet Daily รายงานว่า Ledger ผู้ให้บริการฮาร์ดแวร์วอลเล็ต เผชิญเหตุด้านความปลอดภัยอีกครั้ง โดยบริษัทความปลอดภัยภายนอกประเมินความเสียหายรวมเกือบ 90 ล้านดอลลาร์สหรัฐ Ledger ระบุว่ากำลังตรวจสอบเงินที่สูญหายซึ่งเชื่อมโยงกับอุปกรณ์ที่จำหน่ายผ่านผู้แทนจำหน่ายอย่างเป็นทางการในเอเชียตะวันออกเฉียงใต้ CryptoBilis และได้ขอให้ผู้แทนรายดังกล่าวระงับการขายและการจัดส่งทั้งหมดแล้ว ผู้ใช้งานที่ซื้ออุปกรณ์ผ่านช่องทางนี้ภายใน 90 วันที่ผ่านมา ถูกแนะนำให้เพิ่มความระมัดระวังหรือย้ายสินทรัพย์ออกไปก่อน สาเหตุยังไม่ถูกยืนยันอย่างเป็นทางการ เบื้องต้นสงสัยว่าเกี่ยวข้องกับการถูกแทรกแซงในซัพพลายเชน หรือมีการดัดแปลงอุปกรณ์ เหตุการณ์สำคัญในอดีตของ Ledger ที่เกี่ยวข้องกับการโจมตีและความเสียหาย มีดังนี้ - ปี 2018: งานวิจัยด้านฮาร์ดแวร์และซัพพลายเชนระบุช่องโหว่หลายจุด นักวิจัยสาธิตความเป็นไปได้ในการดัดแปลงอุปกรณ์ Nano S ก่อนส่งมอบ รวมถึงการข้าม MCU bootloader ช่องโหว่ด้านการแยกส่วน และการแทรกแซงที่อยู่ Bitcoin สำหรับเงินทอน (change address) ต่อมา Ledger ออกประกาศความปลอดภัยและอัปเดตแก้ไข โดยส่วนใหญ่เป็นช่องโหว่ระดับงานวิจัยหรือจำเป็นต้องเข้าถึงตัวเครื่องเพื่อโจมตี - ปี 2020: เกิดเหตุข้อมูลลูกค้ารั่วไหลครั้งใหญ่ ผู้โจมตีใช้คีย์ API ของบุคคลที่สามและช่องโหว่ที่เกี่ยวข้องกับ Shopify เพื่อเข้าถึงฐานข้อมูลอีคอมเมิร์ซและการตลาด ส่งผลให้อีเมลมากกว่า 1 ล้านรายการ และข้อมูลลูกค้าราว 272,000 ถึง 292,000 รายการ (ชื่อ ที่อยู่ และหมายเลขโทรศัพท์) ถูกเปิดเผย ฮาร์ดแวร์วอลเล็ตและคีย์ส่วนตัวไม่ได้ถูกเจาะ แต่เหตุการณ์นำไปสู่การฟิชชิง วิศวกรรมสังคม และการแอบอ้างเป็นเวลานานผ่านการสื่อสารปลอมในนามทางการ - ธันวาคม 2023: Ledger Connect Kit ถูกโจมตีผ่านซัพพลายเชน หลังอดีตพนักงานรายหนึ่งตกเป็นเหยื่อฟิชชิง บัญชี NPMJS ถูกยึดและถูกใช้ปล่อยเวอร์ชันอันตรายของ Connect Kit โค้ดถูกฉีดเข้าไปใน DApps ที่พึ่งพาไลบรารี ทำให้ผู้ใช้ถูกหลอกให้เซ็นธุรกรรมและถูกขโมยเงิน ช่วงเวลาการโจมตีประมาณ 2 ชั่วโมง ความเสียหายราว 480,000 ถึง 600,000 ดอลลาร์สหรัฐ อุปกรณ์ฮาร์ดแวร์และตัว Ledger Live ไม่ได้ถูกเจาะโดยตรง - มกราคม 2026: เกิดเหตุข้อมูลคำสั่งซื้อรั่วไหลจากบุคคลที่สาม (Globale) การเข้าถึงโดยไม่ได้รับอนุญาตในระบบของพันธมิตรด้านการชำระเงินและโลจิสติกส์ ทำให้ข้อมูลบางส่วนที่เกี่ยวข้องกับคำสั่งซื้อบน Ledger.com ถูกเปิดเผย เช่น ชื่อ ที่อยู่ และข้อมูลติดต่อ ระบบของ Ledger และคีย์ส่วนตัวไม่ได้รับผลกระทบ แต่ความเสี่ยงฟิชชิงเพิ่มขึ้นอีกครั้ง - เมษายน 2026: พบแอป Ledger Live ปลอมบน App Store หลอกให้ผู้ใช้กรอก seed phrase แอปปลอมเปิดให้ดาวน์โหลดราว 1 สัปดาห์ สร้างความเสียหายประมาณ 9.5 ล้านดอลลาร์สหรัฐ กระทบเหยื่อมากกว่า 50 ราย และหลายบล็อกเชน ต่อมา Apple ลบออก และ Ledger ย้ำว่าไม่เคยขอ seed phrase แบบ 24 คำ - สิงหาคม 2026: Ledger เปิดเผยช่องโหว่ที่เกี่ยวข้องกับการเซ็นธุรกรรมของแอป Ethereum รวมถึงปัญหา command interleaving ทำให้ข้อมูลบนหน้าจอไม่สอดคล้องกับพารามิเตอร์การเซ็น และการข้าม clear-signing ช่องโหว่ต้องอาศัยความร่วมมือจากโฮสต์ที่เป็นอันตราย โดย Ledger ระบุว่าไม่พบหลักฐานการโจมตีผู้ใช้จริง และได้แก้ไขแล้วในเวอร์ชันใหม่ - 9 ตุลาคม 2026: เกิดเหตุวอลเล็ตถูกดูดเงินในวงกว้างที่เกี่ยวข้องกับช่องทางผู้แทนจำหน่าย CryptoBilis ความเสียหายประเมินเกือบ 90 ล้านดอลลาร์สหรัฐ Ledger อยู่ระหว่างการสอบสวน เหตุการณ์มีแนวโน้มเป็นการโจมตีแบบซัพพลายเชนหรือการดัดแปลงอุปกรณ์ที่มุ่งเป้าช่องทางจำหน่ายเดียว บริษัทได้ระงับการขายผ่านช่องทางดังกล่าว และแนะนำให้ผู้ได้รับผลกระทบย้ายสินทรัพย์ออกไป