Ledger 硬件錢包遭遇針對轉售商供應鏈的攻擊

Ledger表示，一個犯罪集團購入正品硬件錢包，植入隱藏組件，再透過東南亞的分銷商轉售。經改裝的裝置可在設定期間竊取復原短語，令攻擊者得以清空錢包。客戶報告損失與馬來西亞的轉售商 CryptoBilis 有關後，Ledger確認至少有一部裝置被植入組件。區塊鏈調查員 Specter估計約有8,600萬美元被盜，但Ledger尚未確認總損失或受害者人數。據報，攻擊者花費數百萬美元建立系統，用來收集復原短語、轉移資產及洗錢。 Ledger形容事件是針對分銷渠道的攻擊，而非其晶片、作業系統或伺服器遭入侵。公司已要求東南亞及香港的分銷商暫停銷售，以便檢查庫存；目前抽樣檢查尚未發現其他遭篡改的裝置。Ledger禁止轉售退回的裝置，並指示商店在顧客購買時直接把產品交給他們。公司正與執法部門及安全研究人員合作，追查資金並瓦解攻擊者的基礎設施。這宗針對Ledger硬件錢包的攻擊突顯加密貨幣用戶面對的供應鏈風險；在錢包安全引起更廣泛關注之際，亦有報道指Coldcard用戶於7月損失近1.2億美元。