Ledger恶意植入物引发硬件钱包供应链安全担忧

Ledger安全团队Donjon在东南亚经销商CryptoBilis销售的一台硬件钱包中发现恶意植入物。该植入物可在设置过程中窃取设备的24个单词助记词，并通过预置eSIM使用LTE发送，从而使钱包资金面临风险。Ledger确认一台设备受影响，并表示目前已核实的损失均涉及CryptoBilis售出的设备。调查期间，CryptoBilis已暂停销售Ledger设备。链上调查员Specter追踪到涉及比特币、以太坊和波场的疑似盗窃，金额超过8600万美元，但Ledger称网上流传的损失估算尚未得到证实。Ledger建议买家不要设置可疑设备，并敦促已使用相关设备的用户将资金转移到新设备，同时启用新的助记词。这起硬件钱包事件也引发了对供应链安全的更广泛担忧。安全研究员Joe Grand警告，复杂的物理篡改可能难以察觉。Trezor表示，真伪验证和签名固件有助于防范风险，但无法排除设备被改装的可能，并计划缩减经销商网络。专家建议用户分散对不同服务商的信任，并改进防篡改设计，同时强调没有任何措施能完全消除风险。Ledger称该植入物没有改变其安全芯片、操作系统或交易签名。这起事件凸显了硬件钱包和助记词安全风险，但并不意味着比特币网络本身出现了更广泛的问题。