在犯罪分子改装正品设备并利用其窃取加密货币之后，Ledger 对硬件钱包销售推出了更严格的管控措施。该公司在 10 月 15 日的声明中重申禁止转售退回的钱包，并要求零售商将新设备远离展示货架。此举源于一项发现：植入转售钱包的隐藏组件会捕获客户的 24 个单词助记词，并通过移动网络传输出去。

犯罪分子在转售前改装设备

Ledger 表示，攻击者购买了正品钱包，安装隐藏组件，然后将其退回东南亚的经销商渠道。据该公司介绍，该团伙花了数月时间准备此次行动，并搭建了收集助记词和转移被盗资金的系统。

此次行动表明，供应链篡改如何在不触碰密码学机制的情况下攻破硬件钱包：助记词是可以在任何兼容设备上恢复钱包账户的主备份，因此仅捕获这 24 个单词就足以控制资金。

调查始于 10 月 9 日，当时客户报告在 CryptoBilis（一家总部位于马来西亚的经销商）销售的设备中资产失踪。早前的一项 Ledger 钱包盗窃调查将投诉与该经销商联系起来，后者随后停止了销售。

隐藏植入组件的工作原理

Ledger 的安全团队发现了一个植入组件，它会在钱包设置过程中复制显示的 24 个单词助记词。该组件随后通过内置电子 SIM 卡（eSIM）的移动数据连接将这些单词发送出去。该公司表示，设备的安全芯片和操作系统完好无损。

这一细节表明攻击发生在设置阶段，即助记词显示给用户记录的时候，而非设备的安全硬件内部。

币安创始人赵长鹏 10 月 9 日在 X 上警告称，证据指向通过单一卖家进行的攻击，而不是所有 Ledger 钱包都存在问题。

调查人员追踪资金，损失估计上升

区块链研究员 Specter 最初估计损失超过 8600 万美元。然而，Bitquery 在 10 月 15 日的更新中追踪到来自六个网络 324 个钱包的 1.02 亿美元被盗资金。早前对设备篡改的确认证实调查人员发现了一个未经授权的组件。Ledger 尚未确认损失总额或受影响客户的数量。

Bitquery 表示，Tether 冻结了与该盗窃案相关的 1000 万枚 USDT。其调查还通过兑换和隐私服务追踪了被盗资金。研究人员统计的是钱包而非个人客户，并指出一名所有者可能控制多个受影响地址。

Ledger 调整分销与客户指引

Ledger 表示，其团队检查了来自德国门店的设备和仓库库存，这些样本均未发现篡改痕迹。在 10 月 14 日的 X 更新中，该公司呼吁在包括香港在内的七个市场暂停销售。亚洲的经销商在调查继续期间暂停了钱包销售。

新的处理规则集中在经销商环节，即本案例中被篡改设备进入供应链的节点，确保设备在受控存储下保管直至售出之时。

根据新规，授权经销商必须将钱包存放在远离公共货架的地方，并在购买时直接交付给买家。Ledger 建议 CryptoBilis 客户不要设置未使用的设备，而已经初始化过设备的用户应将其资产转移到带有全新助记词的新钱包。案件中的未决事项包括经确认的损失总额——Ledger 尚未确认 Bitquery 的 1.02 亿美元数据——以及除 Tether 已冻结的 1000 万枚 USDT 之外，是否还有更多被盗资金被冻结。