Ledger表示,其Donjon安全研究团队在东南亚经销商CryptoBilis销售的硬件钱包中发现了隐藏的未经授权硬件植入装置。该隐蔽组件在钱包初始化设置时从屏幕上读取设备的24个单词助记词,并使用预置的eSIM通过蜂窝网络传输这些单词。

这家总部位于巴黎的硬件钱包制造商于周二在X上的一则帖子中公布了这一发现。该公司的内部安全研究团队Ledger Donjon于10月10日星期六在一名受影响用户的设备中确认了该植入装置。Ledger于周五首次披露的此次事件中,所有已确认的损失均涉及通过CryptoBilis销售的设备,该公司表示尚未核实与在其他渠道购买的设备相关的资金流失。

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— (@Ledger) October 13, 2026

硬件钱包是自我托管的核心工具,旨在将用户的私钥保存在离线状态。Ledger设备(该公司称之为signer)在初始设置期间会在屏幕上显示其24个单词的助记词。任何获得该助记词的人都可以在另一台设备上恢复钱包并完全控制其资金。因此,设置屏幕是助记词在设备之外可见的唯一环节,这也正是读取屏幕的植入装置无需修改钱包保护机制就能将其攻破的原因。

根据Ledger Donjon的分析,该植入装置位于设备外壳内部,读取屏幕上显示的内容。当其检测到助记词显示界面时,其微控制器会对这些单词进行解码,并使用预置的eSIM通过LTE传输。

Ledger表示,该植入装置是一个独立的组件,并补充说它不会修改设备的Secure Element或Ledger操作系统,也不会更改交易或签名。据Ledger称,CryptoBilis已确认在调查继续期间停止销售Ledger设备。该案件还将关注点引向硬件供应链的第三方经销商环节——设备在到达买家手中之前,会脱离制造商的直接控制。

该公司尚未确认受影响用户的总数或损失金额,并表示网上流传的数字来自其尚未完全核实的第三方。链上调查员Specter追踪到跨以太坊、Tron和比特币的疑似被盗金额超过8600万美元,正如Decrypt上周五报道的那样。

Ledger正在审查CryptoBilis之外的报告

Ledger表示,还在审查有关其他signer设备和其他地点出现植入装置的报告。一名X用户声称在欧洲零售店购买的两台Ledger设备遭到篡改,该说法尚未得到独立核实。

该公司告知尚未设置CryptoBilis设备的买家不要进行设置,并联系Ledger支持团队。已设置设备的用户应立即将其资产转移到带有新助记词的新设备上,并且不应在从CryptoBilis购买的设备上输入或恢复任何助记词。

Ledger表示,损失资金或持有被篡改设备的用户还应向当地执法部门报案,在与Ledger支持团队或警方沟通之前,不应将设备发送给任何人,也不应打开设备。

未从CryptoBilis购买设备的买家可以按照Ledger指南检查设备内部,不过该公司警告说,打开signer可能会损坏设备,并敦促用户首先备份助记词。

Ledger重申,其绝不会致电用户、直接发送消息或索要助记词。该公司表示,Donjon将分析其收到的设备,并在调查继续过程中分享更多信息。