東南亞 Ledger 硬件錢包遭篡改 被盜 1.02 億美元

東南亞客戶在10月初發現，Ledger硬件錢包內加密資產不翼而飛，裝置表面仍運作正常。該批客戶經CryptoBilis購買，這家授權經銷商在馬來西亞、印尼及菲律賓營運。Ledger於10月10日確認，一名受影響客戶的裝置內有未經授權的植入元件。三日後，Ledger安全團隊解釋，加裝的電子零件在設定過程中複製錢包的24個助記詞，並經流動網絡傳送出去。受保護晶片、作業系統及交易簽名均未見改動。Bitquery估計，攻擊者從六條區塊鏈網絡、324個錢包竊取1.02億美元；Ledger未確認該總額，亦未確定每宗損失均涉及植入元件的裝置。 硬件錢包保管授權交易所需的私鑰，加密資產本身留在區塊鏈上。錢包簽署已批准的交易時，不會把私鑰交予所連接的電腦。設定期間，Ledger錢包會顯示24個助記詞，裝置一旦遺失，可用以重建錢包及其私鑰。機主被指示抄下助記詞、離線保存、永不分享。任何人取得助記詞，即可在另一裝置還原同一帳戶，原錢包的PIN無法阻止。 Ledger指一個小型控制器截取送往螢幕的資訊，重建助記詞，再透過內置SIM卡以LTE傳送。植入元件無須攻破受保護晶片，也無須誘使機主在假網站輸入助記詞。機主可完成設定並批准合法交易，攻擊者同時持有同等動用資金的權限。可選的額外密碼短語可保護以此建立的帳戶，但一般帳戶僅憑助記詞已足夠。 Ledger的Genuine Check可驗證裝置是否配備原廠Secure Element，即負責敏感安全操作的晶片，能識別假冒晶片，卻無法檢查每個零件，也不能證明出廠後未遭加裝任何東西。Ledger的安全文件警告，原廠晶片保持完好時，實體改裝或可避過偵測。 Tibane Labs檢驗過被改裝的Ledger Nano X，內含監察安全晶片與螢幕之間訊號的電子零件。更精密的樣本在螢幕下方藏有訂製電路板，並保留原廠電池，令一般檢查難以發現改裝。這些樣本與CryptoBilis調查無關，不能證實涉及同一批裝置或同一批攻擊者。 原廠晶片、正確簽名、運作正常，都不足以證明整部裝置未遭篡改。Ledger建議經授權賣家購買，CryptoBilis個案反映整條分銷鏈的信任問題，而非單純冒牌產品。Ledger在10月15日更新中表示，攻擊者數月內購入原廠裝置，拆開後加裝訂製零件，再經東南亞分銷商把裝置送回銷售渠道。Ledger形容事件是對分銷渠道的攻擊。倉庫及店舖抽查的樣本未見篡改。公司已要求東南亞及香港的授權分銷商及零售商暫停銷售，並收緊退貨產品管控，要求賣家不要把裝置擺放於陳列貨架。德國的MediaMarktSaturn在接獲裝置遭篡改報告後暫停銷售Ledger產品。Trezor在未發現自家產品受影響的情況下，仍收緊這家對手錢包商的經銷網絡。 Bitquery發現25個Tron錢包在三秒內簽署同一項授權，模式與有人早已控制多個帳戶相符。區塊鏈紀錄無法顯示誰拆開包裝、安裝零件或把裝置退回店舖；這些問題須靠硬件檢驗及分銷紀錄。 購買新硬件並輸入舊的24個助記詞，會重現同一風險，因為舊助記詞還原同一組私鑰。資產須轉移至由可信裝置上全新助記詞生成的帳戶，並仔細核對地址及操作指示。Ledger呼籲CryptoBilis買家不要初始化未使用的裝置，並建議已完成設定的客戶把資金轉移至使用新助記詞的新簽署裝置。受影響機主應經官方支援渠道求助，保留可能相關的證據，切勿把助記詞交給聲稱可協助追回資金的人。 事件顯示，硬件錢包安全涵蓋螢幕、外殼、包裝及分銷鏈，直至助記詞首次出現。自託管免卻信任交易所保管私鑰，但機主仍須信任製造及顯示私鑰的硬件。