Ledger 證實 CryptoBilis 售出裝置被植入模組　可截取 24 字復原短語

Ledger 證實，東南亞經銷商 CryptoBilis 售出的硬件錢包內被植入模組，會在裝置設定過程中截取 24 字復原短語。Ledger 指出，該模組透過已配置的 eSIM 以 LTE 網絡將復原短語外傳。 Ledger 旗下 Donjon 安全團隊於周二表示，該模組不會改動裝置的安全元件或 Ledger 作業系統，亦不會篡改交易或簽名。 Ledger 上周稱正調查經 CryptoBilis 購買產品的用戶資金損失個案。鏈上研究人員估計，涉及比特幣、以太幣及波場的損失超過 8,600 萬美元。Ledger 表示，有關總額及受影響人數仍待核實，網上流傳的數字來自第三方，未經公司全面確認。 Ledger 建議損失資金的用戶在開啟裝置前先與執法機關協調，並重申沒有跡象顯示 Ledger 的基礎設施、系統或服務遭到入侵。Ledger 已要求 CryptoBilis 暫停所有銷售及出貨，以便其網絡安全團隊檢驗已回收的硬件。 MediaMarkt Saturn 自 10 月 13 日起暫停歐洲門市及網上銷售 Ledger 裝置，此前德國一名客戶報告發現植入模組。Ledger 的最新公布指該個案並無資金損失。 一名 X 用戶周五稱，分別在兩間 MediaMarkt 門店購入兩部 Ledger 裝置，兩機內部均發現未經授權的線纜及蜂窩模組。有關說法未經獨立核實。 已結業的 Mt. Gox 前行政總裁 Mark Karpeles 周二表示，在新加坡機場購買的一部 Ledger Flex 內藏有間諜植入模組。Ledger 引導用戶查閱其 CryptoBilis 調查更新，但未確認該新加坡裝置是否與同一事件有關。 事件促使其他硬件錢包廠商收緊經銷渠道。Trezor 表示，未接獲 CryptoBilis 竄改 Trezor 裝置的報告，亦無跡象顯示 Trezor 產品受影響。Trezor 已將 CryptoBilis 從經銷商名單中移除，作為預防措施。 據首席商務官 Danny Sanders 致合作夥伴的信件，Trezor 亦正縮減其整體經銷網絡。信中指，受影響的經銷商將於 2027 年 1 月 1 日失去授權，在此之前不會再獲 Trezor 供貨，但可繼續出售餘下庫存。Sanders 稱無證據顯示 Trezor 裝置曾被入侵，並形容有關安排屬預防性質。 OneKey 報告未見與事件相關的客戶資金損失。OneKey 已撤銷 CryptoBilis 的經銷授權，並開始審視整體經銷網絡；以可疑法律實體營運的賣家將被取消授權。OneKey 為 3 月 1 日至 10 月 13 日期間經 CryptoBilis 購買的 OneKey 裝置提供免費更換，不限型號或啟用狀態。