Ledger 植入程式在供應鏈攻擊中洩露復原短語

Ledger確認東南亞轉售商CryptoBilis售出的一些正版硬件錢包內藏有未經授權的硬件植入物後，收緊了轉售商規則。設定裝置期間，植入物會從裝置屏幕擷取用戶的24個詞語復原短語，並經流動網絡傳送出去。它沒有入侵Ledger的Secure Element、作業系統或交易簽署流程，因此受影響裝置仍可能通過真偽檢查。 Ledger表示，所有已確認的損失均涉及CryptoBilis裝置，並稱在自家直銷渠道未發現遭篡改的證據。鏈上研究人員估計，超過300個錢包損失了8,600萬至9,300萬美元，但Ledger尚未核實這些數字，也未確認客戶的總損失。據報Tether凍結了約1,000萬美元的USDT。一名德國客戶報告發現植入物後，零售商MediaMarkt Saturn暫停銷售Ledger產品。Ledger表示，檢查德國存貨及倉庫樣本後，沒有發現其他遭篡改的情況。 2026年10月15日，Ledger要求獲授權零售商不要在公眾可見的位置展示新裝置、停止轉售退回的錢包，並暫停在印尼、新加坡、泰國、菲律賓、越南、馬來西亞及香港銷售。CryptoBilis早於10月9日已被勒令停止銷售及出貨。已初始化CryptoBilis裝置的買家，應視其復原短語已遭洩露，並把資產轉移至使用全新短語的新錢包。尚未初始化裝置的人應停止使用，並聯絡Ledger支援。Ledger植入物事件突顯了硬件錢包供應鏈的風險；使用不同製造商的裝置進行多重簽署，可降低對單一裝置的依賴，但無法消除安全風險。