Ledger 揭露 LTE 植入裝置竊取錢包復原詞組，疑涉 $86M 失竊案

前言

Ledger 表示，其 Donjon 安全團隊在由東南亞經銷商 CryptoBilis 銷售的一款錢包中，發現未經授權的硬體植入裝置。據稱，該元件會讀取裝置設定期間顯示的 24 個單字復原詞組，並透過已設定的 eSIM 使用 LTE 傳送出去。由於任何人只要取得復原詞組，就能還原錢包並控制其中資金，因此據報導的方法引發嚴重的安全疑慮。

Ledger 於週六確認一名受影響使用者的裝置中有該植入裝置，並於週五披露此事件。該公司尚未確定有多少使用者受到影響，也未確認損失金額。鏈上調查員追查到超過 $86 million 的疑似失竊款項，但 Ledger 表示，尚未完全核實網路流傳的數字。本文將 Ledger 已確認的調查結果與未經核實的說法分開，並整理該公司對使用者的指引。

懶人包

Ledger 表示，在 CryptoBilis 銷售的一台裝置內發現獨立、未經授權的硬體元件。據稱，該元件會擷取設定期間顯示的 24 個單字復原詞組，並使用 eSIM 透過 LTE 傳送。Ledger 表示，該植入裝置不會改動裝置的安全元件、作業系統、交易或簽章。該公司已確認一台受影響的裝置，但受影響使用者人數及總損失仍然未知。一名調查員追查到超過 $86 million 的疑似失竊款項，Ledger 尚未完全核實此數字。建議買家不要設定可疑裝置；已使用該裝置者應將資產轉移出去。

正文

總部位於巴黎的硬體錢包製造商 Ledger 表示，其 Donjon 安全研究團隊在由東南亞經銷商 CryptoBilis 銷售的 Ledger 簽署器中，發現未經授權的硬體植入裝置。該公司宣布，已於週六確認一名受影響使用者的裝置中有該植入裝置，並於週五披露此事件。Ledger 尚未確認有多少台裝置遭到改裝，也未確定因此造成的損失總額。

Ledger 簽署器會在設定期間顯示 24 個單字的復原詞組。這組詞組是關鍵憑證：取得它的人可以還原相關錢包，並控制其中資金。據報導，該植入裝置以設定流程為目標，而復原詞組正是在這個過程中顯示於裝置螢幕上，因此令人憂慮。

根據 Ledger Donjon 的分析，該植入裝置安裝在裝置外殼內部，並讀取螢幕上顯示的資訊。當它偵測到復原詞組畫面時，其微控制器會解碼這些單字，並使用已設定的 eSIM 透過 LTE 傳送。換言之，據報導，這個元件不需要修改正在進行的交易就能造成風險；它據稱會擷取敏感資訊，而這些資訊日後可能被用來存取錢包。

Ledger 強調，該植入裝置是獨立元件。該公司表示，它不會修改裝置的安全元件或 Ledger 作業系統，也不會改動交易或簽章。這些說明描述的是 Ledger 對該元件據報導設計的調查結果；但這不代表受影響的裝置應被視為安全。設定期間遭擷取的復原詞組，仍可能被他人用來還原並控制錢包。

Ledger 確認與此事件相關的所有損失，都涉及透過 CryptoBilis 銷售的裝置。該公司表示，尚未核實任何與其他管道購買的裝置有關的資金遭轉出事件。CryptoBilis 已確認，在調查持續進行期間停止銷售 Ledger 裝置。這些說法指出已確認個案所涉及的銷售管道，但無法確定遭入侵裝置的總數，也不能證明該經銷商銷售的每台裝置都受到影響。

涉及的金額也尚未有定論。Ledger 表示，尚未確認損失總額，也未完全核實網路流傳的數字。Decrypt 週五報導，鏈上調查員 Specter 追查到 Ethereum、Tron 和 Bitcoin 上超過 $86 million 的疑似失竊款項。因此，這個金額是據報導的疑似失竊估算值，並非 Ledger 已確認可歸因於該植入裝置的總額。

Ledger 正在檢視其他簽署器及地點出現植入裝置的相關通報。一名 X 使用者聲稱，在歐洲零售商店購買的兩台遭竄改 Ledger 裝置中發現異常。該說法尚未經獨立核實，Ledger 也未確認這些裝置與 CryptoBilis 事件有關。該公司的調查仍在進行中，隨著檢查更多裝置，事件範圍可能有所變動。

對於尚未設定從 CryptoBilis 購買之裝置的買家，Ledger 表示不要設定，並聯絡 Ledger Support。已使用此類裝置的人應儘速將資產轉移至使用新復原詞組的新裝置。Ledger 也警告使用者，不要在從 CryptoBilis 購買的裝置上輸入或還原任何復原詞組。依照這項建議，關鍵在於使用全新的詞組建立新錢包：如果只是更換裝置，卻繼續使用可能已外洩的詞組，並無法排除根本風險。

若使用者已損失資金，或持有其認為遭竄改的裝置，應向當地執法機關報案。Ledger 表示，在與 Ledger Support 或警方交談之前，不應將裝置寄給任何人，也不應拆開裝置。妥善保存裝置並尋求適當指引，有助於避免破壞潛在證據，或在調查過程中造成額外問題。

對於未從 CryptoBilis 購買裝置的買家，Ledger 表示可使用該公司的指南檢查簽署器內部。不過，拆開簽署器可能會損壞裝置。Ledger 敦促使用者先備份復原詞組，並提醒使用者在遵循任何檢查指示時，務必妥善保護該詞組。該公司的指引並未證實透過其他管道購買的裝置受到影響；這項指引反映的是其對已確認個案所涉經銷商以外相關通報的檢視。

Ledger 也再次重申，絕不會致電使用者、直接傳訊息給使用者，或索取復原詞組。在安全事件期間，使用者可能收到聲稱可提供緊急協助的未經邀請訊息，因此這項警告格外重要。無論寄件者聲稱自己是誰，對於索取復原詞組的要求都應謹慎看待。Ledger 表示，其 Donjon 團隊將分析收到的裝置，並隨著調查進展分享更多資訊。

目前，最重要的是區分 Ledger 已確認的事項與仍在調查中的內容。該公司已確認一名受影響使用者的裝置中有植入裝置，並表示已確認的損失涉及透過 CryptoBilis 銷售的裝置。該公司尚未核實受影響使用者總數、損失總額，或涉及其他賣家與地點的通報。超過 $86 million 的疑似金額來自外部鏈上調查，Ledger 尚未完全核實。在調查有更多結果之前，使用者應遵循該公司針對特定裝置的指引，並對復原詞組保密。

重點整理表