Ledger 植入物引發對硬件錢包供應鏈的憂慮

Ledger 的 Donjon 安全團隊在東南亞經銷商 CryptoBilis 售出的一個硬件錢包中，發現了惡意植入物。該植入物可在裝置設定期間擷取其 24 個字的恢復詞組，並透過預先配置的 eSIM 使用 LTE 傳送出去，令錢包資金面臨風險。Ledger 證實有一部裝置受影響，並表示截至目前已核實的損失涉及 CryptoBilis 售出的錢包。調查仍在進行，CryptoBilis 已停止銷售 Ledger 裝置。鏈上調查員 Specter 將涉及 Bitcoin、Ethereum 和 Tron、金額超過 8,600 萬美元的疑似盜竊案件聯繫起來，但 Ledger 表示網上流傳的損失估算尚未核實。Ledger 建議買家不要設定可疑裝置，並呼籲曾使用這類裝置的人，將資金轉移至使用全新恢復詞組的新裝置。這宗硬件錢包事件亦引發對供應鏈更廣泛的憂慮。安全研究員 Joe Grand 警告，精密的實體篡改可能難以察覺。Trezor 表示，真偽檢查和經簽署的韌體有幫助，但無法排除裝置遭改動的可能，並計劃縮減其經銷商網絡。專家建議不要把信任集中在單一供應商，並改良更能抵禦篡改的設計，同時強調沒有任何措施能消除所有風險。Ledger 表示，植入物沒有改動其 Secure Element、作業系統或交易簽署。事件突顯了硬件錢包及恢復詞組的安全風險，但並不代表 Bitcoin 網絡存在更廣泛的問題。