Ledger 植入物引發對硬體錢包供應鏈的疑慮

Ledger 的 Donjon 安全團隊在東南亞經銷商 CryptoBilis 售出的一台硬體錢包中，發現了惡意植入物。該植入物可在裝置設定期間擷取其 24 個字的復原詞組，並透過預先配置的 eSIM 使用 LTE 傳送出去，讓錢包中的資金面臨風險。Ledger 證實有一台裝置受到影響，並表示截至目前已確認的損失涉及 CryptoBilis 售出的錢包。調查期間，CryptoBilis 已停止銷售 Ledger 裝置。鏈上調查員 Specter 將涉及 Bitcoin、Ethereum 和 Tron、總額超過 8,600 萬美元的疑似竊盜案件串連起來，但 Ledger 表示網路上流傳的損失估計尚未經過查證。Ledger 建議買家不要設定可疑裝置，並呼籲曾使用這類裝置的人，將資金轉移至使用全新復原詞組的新裝置。這起硬體錢包事件也引發對供應鏈更廣泛的疑慮。安全研究員 Joe Grand 警告，精密的實體竄改可能難以偵測。Trezor 表示，真偽檢查和經簽署的韌體有幫助，但無法排除裝置遭到修改的可能，並計畫縮減其經銷商網絡。專家建議將信任分散至不同供應商，並改良更能抵禦竄改的設計，同時強調沒有任何措施能消除所有風險。Ledger 表示，植入物沒有更動其 Secure Element、安全元件、作業系統或交易簽章。這起事件凸顯硬體錢包和復原詞組的安全風險，但並未顯示 Bitcoin 網路存在更廣泛的問題。