Ledger 已确认，在东南亚经销商 CryptoBilis 出售的一款加密货币签名器中发现的未经授权的硬件植入物，能够捕获用户的 24 词恢复短语，并通过蜂窝网络将其传输出去。
摘要
- Ledger 确认，通过东南亚经销商 CryptoBilis 出售的一台受影响签名器内部存在硬件植入物。
- 该植入物在设置过程中读取恢复短语，并通过 LTE 连接传输捕获的单词。
- Ledger 表示，该植入物独立运行，未修改其安全元件、操作系统或签名。
- CryptoBilis 已暂停 Ledger 签名器的销售，同时调查人员正在检查受影响的设备并核实报告的客户损失。
- Ledger 尚未核实受害者总数或所报告的加密货币损失总额。
Ledger 于 10 月 13 日披露了这些发现，此前其 Donjon 安全团队对 10 月 9 日报告的加密货币损失进行了调查。该公司于 10 月 10 日确认在一名受影响客户的设备中存在植入物，并表示在此事件中已核实的每一笔资金损失都涉及通过 CryptoBilis 购买的产品。在调查人员检查受影响硬件期间，该经销商已暂停 Ledger 签名器的销售。
Ledger 钱包安全调查揭露隐藏的间谍设备
根据该公司的最新发现，该未经授权的组件位于钱包外壳内部，并监控其屏幕上显示的信息。在初始设置过程中，Ledger 签名器会显示一个 24 词恢复短语，允许用户恢复对其加密货币资产的访问。
该植入物包含一个微控制器，可以读取设置期间显示的信息。当它检测到恢复短语屏幕时，会解码这些单词，并通过使用预配置 eSIM 的 LTE 连接传输信息。Ledger 的发现表明，该组件独立于签名器的正常安全系统运行。
Ledger 在声明中解释说，该设备不会修改安全元件，即负责保护私钥的芯片。该植入物不会改变 Ledger 操作系统、加密货币交易或数字签名。其功能是捕获钱包初始化期间显示的敏感信息。
该公司表示，其调查尚未确定该事件会影响通过其他分销渠道购买的产品。Ledger 表示：“我们尚未核实与在其他地方购买的签名器相关的资金流失。”然而，其安全研究人员仍在审查涉及其他设备和地点的硬件修改报告。
最新的技术发现提供了有关在 CryptoBilis 销售的 Ledger 钱包中发现的隐藏硬件的更多信息。Ledger 最初于 10 月 10 日确认存在未经授权的组件，但当时尚未公开确定其运行方式。
CryptoBilis 停止销售，Ledger 调查报告的盗窃事件
调查始于 Ledger 收到通过 CryptoBilis（一家服务于东南亚市场的硬件钱包经销商）购买设备的客户关于加密货币丢失的报告。10 月 9 日，制造商开始审查这些投诉，并要求经销商停止销售和发货其产品。
到 10 月 10 日，该公司的安全团队已在一名受影响客户的设备内发现了一个未经授权的植入物。CryptoBilis 随后确认，在调查继续期间，已停止销售 Ledger 签名器。
Ledger 尚未确定这些未经授权的组件是如何进入受影响设备的，也未查明负责安装这些组件的人员。该公司尚未宣布与此次事件相关的任何逮捕、刑事指控或已完成的执法行动。
与此同时，区块链分析公司 Bitquery 估计，在其 10 月 12 日的分析中，与此次调查相关的疑似加密货币盗窃金额在 324 个钱包中达到约 1.02 亿美元。该公司在检查受影响地址之间可能存在的关联时，追踪了涉及比特币、以太坊和其他区块链网络的资金流动。
这些数字仍属独立估算。Ledger 尚未确认 Bitquery 的损失计算、受影响客户的数量，或研究人员识别出的每一笔可疑交易是否都由该硬件植入物造成。
在 10 月 13 日的声明中，该制造商表示：“我们尚未确认受影响用户的总数或损失的总价值。”它警告称，网上流传的数字来自第三方，尚未经其调查人员完全核实。
另外，该公司表示其 Donjon 团队将继续检查调查期间提交的设备。预计研究人员将评估物理改装情况，并确定其他受影响的签名器是否包含类似组件。
Ledger 敦促 CryptoBilis 客户转移其加密货币
已使用受影响设备的客户被指示尽快将其加密货币转移到一个使用全新恢复短语初始化的新签名器。Ledger 特别警告用户，不要将其现有恢复词导入或恢复到从 CryptoBilis 购买的另一台设备中。
该建议基于该公司的发现，即该植入物能够捕获设置期间显示的恢复短语。将已泄露的恢复短语转移到另一台硬件钱包的用户，将继续使用攻击者可能已知的凭据。
该制造商表示，受害者应在打开其签名器之前与执法部门协调，尤其是当该设备可能为调查所需时。未经妥善处理就打开硬件可能会影响物证的状态。
Ledger 重申，它绝不会致电客户、发送未经请求的私信或索要其恢复短语。此前有单独报道称，假冒 Ledger 网站试图窃取钱包恢复短语，不过这些网络钓鱼活动与 CryptoBilis 硬件事件之间尚未建立直接联系。
对于从其他地方获得设备的客户，Ledger 已通过其支持网站提供检查指南。该公司警告称，打开签名器可能会损坏它，并建议用户在尝试检查之前确保其恢复短语已安全备份。
Ledger Donjon 继续检查硬件植入物
Ledger 的 Donjon 研究团队正在继续对被改装的签名器进行技术检查。该公司表示，其调查人员将在更多设备送达时进行分析，并在新发现得到验证后发布进一步信息。
该团队专门从事硬件和软件安全研究，包括针对加密货币签名设备的物理攻击。Ledger 的研究文档描述了涉及电路分析、组件检查以及测试用于保护私钥的安全机制的工作。
调查的重点是该未经授权的组件如何从设备显示屏捕获信息。Ledger 10 月 13 日的发现确认了一个独立的微控制器和蜂窝通信系统，但未确认对安全元件或签名过程有任何改装。
该公司已向研究人员和其他可能掌握有关这些改装证据的人士索取信息。相关发现可提交至 [email protected]，而受影响的客户则被引导至 Ledger 支持部门。
Ledger 表示将继续审查涉及其他签名器型号和地理位置的报告。该公司尚未宣布完成调查或发布最终报告的日期。
