Ledger 詳述隱藏晶片如何竊取部分錢包的復原助記詞

目錄

• 你可能想知道
• 錢包竊盜案如何發生
• 重點摘要表
• 後續……

你可能想知道

• 硬體植入物如何在不改變錢包簽署流程的情況下擷取復原助記詞？
• 如果客戶向 CryptoBilis 購買了 Ledger 簽署器，應該怎麼做？

錢包竊盜案如何發生

Ledger 表示，在東南亞轉售商 CryptoBilis 所售出的部分加密貨幣錢包裝置中，發現了隱蔽的硬體植入物。根據該公司在 X 上發布的調查更新，當使用者在設定期間於裝置螢幕上看到復原助記詞時，植入物便會擷取這些詞語，接著透過 LTE 行動網路將資訊傳送給攻擊者。Ledger 將此事件描述為實體供應鏈攻擊，而非其軟體或內部系統遭到入侵。

報導所指的裝置是一種硬體簽署器：這種實體工具旨在協助使用者保護加密資產並核准交易。Ledger 表示，未經授權的元件藏在裝置外殼內。當客戶設定簽署器，且螢幕顯示復原助記詞時，植入物的微控制器便會辨識並解碼這些詞語，然後使用 eSIM，透過 LTE（一種行動數據傳輸技術）將其傳送出去。

復原助記詞不只是與錢包相關的一則備忘。它是可用來在其他地方重建該錢包的主密鑰。因此，任何取得助記詞的人，都可能在不持有原本 Ledger 裝置的情況下存取並轉移相關資金。若復原助記詞已外洩，攻擊者無須改動實體簽署器上的交易，也可能控制錢包。

Ledger 的說明之所以重要，是因為它揭示了一種竊取錢包憑證的途徑，而且不必改變裝置一般的交易簽署行為。該公司表示，植入物沒有修改簽署器的安全元件，也就是用來保護私密金鑰的晶片。該公司還表示，植入物沒有更動作業系統、交易或簽名。據報導，這種機制是在設定期間觀察螢幕上顯示的敏感詞語，再暗中將其傳出裝置。

這項區別使此事件有別於一般的軟體入侵。Ledger 表示，調查未發現其軟體或內部系統遭到入侵。相反地，據報導，漏洞是在實體供應鏈中引入的：部分裝置在送達客戶之前，內部就已被裝入未經授權的元件。根據這種說法，簽署器可能看似仍在執行預期功能，同時隱藏的植入物卻獨立擷取螢幕上顯示的資訊。

Ledger 表示，已確認一台受影響的簽署器內含未經授權的植入物。該公司還表示，10 月 9 日事件中所有已確認的損失，均涉及由 CryptoBilis 售出的裝置。該公司尚未確認任何涉及在其他地方購買之簽署器的竊盜案，同時仍在調查其他裝置與地點的植入物通報。這些說法界定了 Ledger 所描述的已確認範圍，但並不能證明該轉售商售出的每台裝置都受影響，也不能證明其他通報案例已被排除。

這家法國公司尚未確認受害者總數或遭竊資產的總價值。然而，鏈上研究人員估計，受影響的錢包超過 300 個，損失最高達 $93.2 million。根據消息來源的說法，Tether 凍結了與竊盜案相關、價值 $10 million 的美元掛鉤穩定幣 USDT。這些數字是研究人員與 Tether 據報採取的行動所提供的估算，並非 Ledger 確認的最終受害者人數或損失總額。

在評估事件時，公司確認的裝置發現與更廣泛的鏈上估算之間存在差異，這一點很重要。確認發現植入物，代表至少一台簽署器內含未經授權的硬體；研究人員的估算則描述了他們認為與多個錢包竊盜案相關的活動。Ledger 表示仍在調查涉及其他裝置與地點的通報。在調查完成之前，應將該公司的說法與獨立估算視為不同資訊，而非可互換的總數。

Ledger 表示，CryptoBilis 已停止銷售 Ledger 簽署器。該公司建議向這家轉售商購買裝置的客戶不要初始化裝置。對於已經使用過該裝置的客戶，Ledger 建議將資產轉移至新裝置，並產生新的復原助記詞。這項建議反映了事件所描述的核心風險：一旦復原助記詞可能已經外洩，只把同一個錢包留在同一台裝置上，並不能消除他人重建錢包的可能性。

實際而言，該公司的指引區分了尚未初始化的裝置與已經使用過的裝置。前者的客戶被告知不要設定簽署器；已經使用過裝置的客戶則被告知，應將資產轉移至搭配全新產生之復原助記詞的新裝置。來源沒有提供如何進行轉移的其他技術指示，因此使用者應依循錢包供應商經核實的指引，並妥善保護任何替換用的復原助記詞。

此事件也凸顯，硬體安全不只涉及安全元件的設計或交易簽署軟體。這些防護措施旨在保護裝置正常運作期間的金鑰與交易。Ledger 的說法則指出另一個曝露點：設定期間顯示復原助記詞的螢幕。若隱藏元件能讀取並傳送這些詞語，即使安全元件與簽署流程維持不變，也可能破壞錢包安全。

對客戶與整個產業而言，此案引發了供應鏈方面的問題：裝置在送達使用者之前，如何採購、檢查、配送與驗證。Ledger 的聲明指出，CryptoBilis 是 10 月 9 日事件中所有已確認損失所涉及的賣家，但該公司也表示正在調查已確認案例以外的通報。仍需進一步調查，才能釐清受影響裝置的總數、完整財務影響，以及其他地點是否也存在類似植入物。

Ledger 的揭露，是消息來源中首度公開說明與 CryptoBilis 有關的竊盜案可能如何發生。該公司的核心主張相當明確：隱藏的植入物讀取了特定裝置螢幕上顯示的復原助記詞，並透過 eSIM 經 LTE 將其傳送出去。該公司堅稱，其軟體、內部系統、安全元件與交易簽署流程均未遭入侵。因此，據報導的竊盜案凸顯一項關鍵安全原則：復原助記詞在建立、顯示、記錄或儲存的每個環節都必須保密。

重點摘要表

後續……

後續措施取決於 Ledger 持續調查的結果。更明確掌握受影響裝置數量、涉及地點及已確認損失金額，將有助於客戶與產業了解事件的完整範圍。目前，Ledger 提出的指引著重於避免初始化向 CryptoBilis 購買的裝置，並將資產從任何已使用過的相關簽署器轉移出去。

更廣泛而言，這些通報顯示，錢包安全必須同時考量數位防護措施，以及裝置送達持有人之前所經歷的實體流程。安全元件與交易控管仍然重要，但如果未經授權的元件能在復原助記詞顯示時將其擷取，單靠這些措施並不足以保護助記詞。讓復原助記詞保持私密、謹慎看待來路不明的硬體，並遵循經核實的安全指引，仍是保護加密貨幣錢包的關鍵。

揭露與政策：CoinDesk 是一家屢獲殊榮、報導加密貨幣產業的媒體。其記者遵守一套嚴格的編輯政策。CoinDesk 採納了旨在確保其出版內容誠信、編輯獨立並免於偏見的原則。CoinDesk 隸屬於 Bullish (NYSE:BLSH)，這是一家以機構為重點的全球數位資產平台，提供市場基礎設施與資訊服務。Bullish 擁有並投資數位資產企業與數位資產；包括記者在內的 CoinDesk 員工可能獲得以 Bullish 股權為基礎的薪酬。