總部位於巴黎的硬體錢包製造商 Ledger 已展開調查，針對透過 CryptoBilis——一家列於 Ledger 官方經銷商目錄的馬來西亞商店——售出的硬體錢包失竊約 8,600 萬美元加密貨幣一案。

此案之所以格外受到關注，是因為硬體錢包的設計目的是將私鑰離線保存，這套安全模式有賴裝置在抵達買家手中時未被竄改——而 Ledger 的標準安全建議正是呼籲客戶只透過經審核的官方通路購買。CryptoBilis 本身正是經過 Ledger 審核的商家。

疑似竊案經過

根據 Vulcan Post 報導，CryptoBilis 是一家馬來西亞線上商店，於 2020 年 12 月由 Arravind Prabu、Vimal Selvamany 與 Dhivager Rathakrishnan 在其公司 Fetch International 旗下創立。該商店於 2021 年宣布成為 Ledger 的授權經銷商。

週五，Ledger 在其支援帳號於 X 上的貼文中表示，已要求 CryptoBilis 暫停所有 Ledger 產品的銷售與出貨，同時調查有超過 8,600 萬美元的比特幣、以太幣與波場幣自該商店售出的錢包中失竊的相關報告。

化名「Specter」的區塊鏈調查員在 X 上發文指出，X 與 Reddit 上陸續出現 Ledger 用戶錢包被掏空的申訴。Specter 表示，其對疑似竊取地址的調查發現，來自數百個受害錢包的比特幣、以太幣與波場幣存款湧入其中，總計超過 8,600 萬美元。

實際損失總額尚未確認，各案件之間是否存在關聯也未確定。原因仍不得而知。Ledger 表示，沒有證據顯示其自身系統錢包軟體遭到入侵。這些待解的疑問——裝置如何遭入侵、最終確認的損失規模有多大、以及各案件之間是否相關——將是調查進展過程中值得關注的重點。

Ledger 對客戶的建議

Ledger 建議，凡在過去 90 天內向該經銷商購買裝置的用戶，暫時不要設定裝置。已啟用錢包的客戶則被告知，應使用新生成的助記詞將資金轉移至另一台 Ledger 裝置。要求生成新助記詞至關重要，因為助記詞相當於錢包的主鑰匙——若它在裝置抵達持有者手中之前即已外洩，將資金轉移到沿用舊助記詞的錢包，餘額仍會暴露在風險之中。

供應鏈攻擊理論

關於攻擊者如何作案，其中一項主要推測是供應鏈攻擊。在這類攻擊中，裝置在抵達買家之前即遭竄改，使其助記詞早已被攻擊者掌握，一旦資金進入錢包即可被掏空。

這種手法在 2023 年曾有紀錄，當時 Kaspersky 研究人員檢驗了一台遭竄改的 Trezor Model T 硬體錢包。該裝置的主晶片已被更換，其軟體也被動了手腳，讓用戶拿到攻擊者早已知曉的 20 組助記詞之一。在該案中，攻擊者等待了約一個月才清空錢包。

Ledger 的艱難時期

Cryptopolitan 於 5 月報導，Ledger 已放棄一項原定規模達 40 億美元的美國首次公開發行（IPO）計畫，理由是市場環境不佳。該公司當時表示正考慮改以私募方式募資，但在這起新的安全事件之後，這條路徑的可能性如今看來更加渺茫。

今年 1 月，Ledger 曾揭露另一起事件：其支付處理商 Global-e 發生客戶資料外洩。區塊鏈調查員 ZachXBT 當時評論指出，硬體錢包公司不足以被信任保管個人資訊。