Ledger 植入程式在供應鏈攻擊中洩露復原助記詞

Ledger確認東南亞經銷商CryptoBilis售出的部分正版硬體錢包遭植入未經授權的硬體後，收緊了經銷商規定。設定裝置時，該植入物會從裝置螢幕擷取使用者的24個單字復原詞組，並透過行動網路傳送出去。它沒有入侵Ledger的Secure Element、作業系統或交易簽署程序，因此受影響裝置仍可能通過真偽檢查。 Ledger表示，所有已確認的損失都涉及CryptoBilis裝置，且在自家直銷通路中沒有發現遭竄改的證據。鏈上研究人員估計，超過300個錢包損失了8,600萬至9,300萬美元，但Ledger尚未查證這些數字，也未確認客戶的總損失。據報Tether凍結了約1,000萬美元的USDT。一名德國客戶通報發現植入物後，零售商MediaMarkt Saturn暫停銷售Ledger產品。Ledger表示，檢查德國庫存與倉庫樣本後，沒有發現其他遭竄改的情況。 2026年10月15日，Ledger要求授權零售商不要公開展示新裝置、停止轉售退回的錢包，並暫停在印尼、新加坡、泰國、菲律賓、越南、馬來西亞及香港銷售。CryptoBilis早在10月9日就被要求停止銷售與出貨。已初始化CryptoBilis裝置的買家，應將其復原詞組視為已遭洩露，並把資產轉移到使用全新詞組的新錢包。尚未初始化裝置的人應停止使用，並聯絡Ledger客服。Ledger植入事件凸顯硬體錢包供應鏈的風險；使用不同製造商的裝置進行多重簽章，可降低對單一裝置的依賴，但無法消除安全風險。