Ledger เผยเหตุการณ์ความปลอดภัยโยงผู้จัดจำหน่าย CryptoBilis คาดความเสียหายใกล้ 90 ล้านดอลลาร์

ChainCatcher รายงานว่า Ledger ผู้ให้บริการฮาร์ดแวร์วอลเล็ตเผชิญเหตุด้านความปลอดภัยอีกครั้ง โดยบริษัทความปลอดภัยบุคคลที่สามประเมินความเสียหายรวมใกล้ 90 ล้านดอลลาร์สหรัฐ Ledger ระบุว่ากำลังตรวจสอบความเสียหายทางการเงินที่เชื่อมโยงกับอุปกรณ์ที่จำหน่ายผ่าน CryptoBilis ซึ่งเป็นผู้จัดจำหน่ายที่ได้รับอนุญาตในเอเชียตะวันออกเฉียงใต้ พร้อมขอให้ผู้จัดจำหน่ายรายดังกล่าวระงับการขายและการจัดส่งทั้งหมดทันที ผู้ใช้ที่ซื้ออุปกรณ์ผ่านช่องทางนี้ภายใน 90 วันที่ผ่านมาได้รับคำแนะนำให้เพิ่มความระมัดระวัง หรือย้ายสินทรัพย์ออกจากอุปกรณ์ดังกล่าว สาเหตุที่แท้จริงยังไม่ยืนยัน แต่เบื้องต้นชี้ไปที่ความเป็นไปได้ของการถูกโจมตีในซัพพลายเชนหรือการดัดแปลงอุปกรณ์ Ledger เคยมีเหตุการณ์ความปลอดภัยสำคัญและความเสียหายที่เกี่ยวข้องในอดีตดังนี้ - ปี 2018: เริ่มมีการเปิดเผยช่องโหว่ระยะแรกเกี่ยวกับความปลอดภัยของฮาร์ดแวร์และซัพพลายเชน นักวิจัยสาธิตความเป็นไปได้ที่อุปกรณ์ Nano S อาจถูกดัดแปลงก่อนส่งมอบ รวมถึงแนวทางโจมตีที่เกี่ยวข้องกับการข้าม MCU bootloader, ข้อบกพร่องด้านการแยกส่วน และการฉีดที่อยู่ Bitcoin "change address" Ledger ออกประกาศความปลอดภัยและอัปเดตแก้ไขภายหลัง โดยส่วนใหญ่เป็นช่องโหว่ระดับงานวิจัยที่ต้องเข้าถึงอุปกรณ์ทางกายภาพ - ปี 2020: เกิดเหตุข้อมูลลูกค้ารั่วไหลครั้งใหญ่ ผู้โจมตีใช้ประโยชน์จากคีย์ API ของบุคคลที่สามและช่องโหว่ที่เกี่ยวข้องกับ Shopify เพื่อเข้าถึงฐานข้อมูลอีคอมเมิร์ซและการตลาด ทำให้อีเมลมากกว่า 1 ล้านรายการ และข้อมูลลูกค้าโดยละเอียดราว 272,000 ถึง 292,000 รายการ (รวมชื่อ ที่อยู่ และหมายเลขโทรศัพท์) ถูกเปิดเผย กระเป๋าฮาร์ดแวร์และคีย์ส่วนตัวยังไม่ถูกกระทบ แต่เหตุการณ์นำไปสู่การฟิชชิง การหลอกลวงทางสังคม และการปลอมแปลงเป็นเวลานาน โดยอาศัยการสื่อสารทางการที่ถูกปลอม - ธันวาคม 2023: Ledger Connect Kit ถูกโจมตีแบบซัพพลายเชน หลังอดีตพนักงานถูกฟิชชิง บัญชี NPMJS ถูกยึดและมีการปล่อยเวอร์ชันอันตรายของ Connect Kit ซึ่งแทรกโค้ดไม่พึงประสงค์เข้าไปใน DApps ที่พึ่งพาไลบรารี หลอกให้ผู้ใช้ลงนามธุรกรรมฉ้อโกง ช่วงเวลาการโจมตีราว 2 ชั่วโมง ความเสียหาย 480,000 ถึง 600,000 ดอลลาร์สหรัฐ โดยฮาร์ดแวร์ Ledger และแอป Ledger Live ไม่ได้ถูกเจาะโดยตรง - มกราคม 2026: ข้อมูลคำสั่งซื้อจากบุคคลที่สาม Globale รั่วไหล การเข้าถึงระบบของพาร์ตเนอร์ด้านการชำระเงินและโลจิสติกส์โดยไม่ได้รับอนุญาตทำให้รายละเอียดคำสั่งซื้อบางส่วนบน Ledger.com (รวมชื่อ ที่อยู่ และข้อมูลติดต่อ) ถูกเปิดเผย ระบบของ Ledger และคีย์ส่วนตัวยังไม่ถูกกระทบ แต่ความเสี่ยงฟิชชิงเพิ่มขึ้นอีกครั้ง - เมษายน 2026: พบแอป Ledger Live ปลอมบน App Store แอปปลอมถูกเผยแพร่ราว 1 สัปดาห์ หลอกให้ผู้ใช้กรอกวลีกู้คืน (recovery phrase) มีผู้เสียหายมากกว่า 50 ราย สูญเงินรวมราว 9.5 ล้านดอลลาร์สหรัฐบนหลายบล็อกเชน ต่อมา Apple นำแอปออก และ Ledger ย้ำว่าไม่เคยขอวลีกู้คืน 24 คำจากผู้ใช้ - สิงหาคม 2026: Ledger เปิดเผยช่องโหว่ที่เกี่ยวข้องกับการลงนามธุรกรรมในแอป Ethereum รวมถึงปัญหา command interleaving ที่ทำให้ข้อมูลที่แสดงผลไม่ตรงกับพารามิเตอร์ที่ลงนาม และการข้าม clear-signing ช่องโหว่ต้องอาศัยโฮสต์ที่เป็นอันตรายในการโจมตี โดย Ledger ระบุว่า ณ เวลานั้นยังไม่มีหลักฐานว่ามีการโจมตีผู้ใช้จริง และได้แก้ไขแล้วในเวอร์ชันใหม่กว่า - 9 ตุลาคม 2026: เกิดเหตุ "wallet draining" ครั้งใหญ่ที่เชื่อมโยงกับผู้จัดจำหน่าย CryptoBilis ประเมินความเสียหายใกล้ 90 ล้านดอลลาร์สหรัฐ Ledger อยู่ระหว่างสืบสวน และเชื่อว่าอาจเป็นการโจมตีแบบเจาะจงในซัพพลายเชนหรือการดัดแปลงอุปกรณ์ที่กระทบเฉพาะช่องทางจัดจำหน่ายเดียว บริษัทระงับการขายผ่านช่องทางนี้แล้ว และแนะนำให้ผู้ใช้ที่ได้รับผลกระทบย้ายสินทรัพย์ไปยังกระเป๋าที่ปลอดภัยกว่า