Ledger 硬體錢包遭遇針對轉售商供應鏈的攻擊

Ledger表示，一個犯罪集團購買正品硬體錢包，植入隱藏元件，再透過東南亞的經銷商轉售。經改裝的裝置可在設定期間竊取復原詞組，讓攻擊者得以清空錢包。客戶通報與馬來西亞經銷商 CryptoBilis 有關的損失後，Ledger確認至少有一台裝置遭植入元件。區塊鏈調查員 Specter估計約有8,600萬美元遭竊，但Ledger尚未確認總損失或受害者人數。據報，攻擊者花費數百萬美元建置系統，用於蒐集復原詞組、轉移資產及洗錢。 Ledger將此事件描述為針對經銷通路的攻擊，而非其晶片、作業系統或伺服器遭到入侵。公司已要求東南亞及香港的經銷商暫停銷售，以便檢查庫存；目前抽樣檢查尚未發現其他遭竄改的裝置。Ledger禁止轉售退回的裝置，並指示商店在顧客購買時直接將產品交給顧客。公司正與執法機關及安全研究人員合作，追蹤資金並瓦解攻擊者的基礎設施。這起針對Ledger硬體錢包的攻擊凸顯加密貨幣使用者面臨的供應鏈風險；在錢包安全引發更廣泛疑慮之際，也有報導指出Coldcard使用者於7月遭竊近1.2億美元。