仿冒 Ledger Nano S+ 竊取種子短語並清空錢包

一名巴西的安全研究員揭露了一項假冒 Ledger Nano S+ 的手法，能竊取助記詞並在約 20 條區塊鏈上清空資金。該假裝置在中國的市集購得，出貨附有客製化惡意韌體以及被複製或修改的 Ledger Live 應用程式。 使用者在設定時一旦輸入助記詞，系統會立即外洩該資料。報告亦發現，在記憶體轉存後敏感資料（助記詞與 PIN）會以純文字被擷取。硬體指標至關重要：假冒 Ledger Nano S+ 使用 ESP32-S3 晶片，而非正品的 ST33 Secure Element，且晶片標記被磨掉以隱藏識別。 攻擊者亦在 Android、Windows（.EXE）、macOS（.DMG）以及 iOS 的 TestFlight 版本中使用欺騙性的應用包裝，並透過網路進行資料外洩。由於供應鏈可能遭到入侵，假韌體能複製預期行為，因此「Genuine Check」可能失效或被模仿——Ledger 表示只有擁有其祕密製造金鑰的裝置才能通過驗證。 販售地點會影響風險：這些裝置出現在第三方市集（例如 Amazon 第三方賣家、eBay、Mercado Livre、JD、AliExpress），常以可疑折扣販售。危險徵兆包括預先生成的助記詞，以及要求在應用中手動輸入助記詞的指示。研究員正與 Ledger 的 Donjon 協調，在 Ledger 的內部分析後提供完整技術報告。 對交易者而言，這主要屬於操作性保管風險，而非對加密貨幣價格的直接催化劑。不過，任何主流媒體的報導均可能短暫壓抑大眾對硬體錢包安全性與使用者自我保管的信心——影響廣泛需求，而非單一代幣的基本面。