Ledger 的硬體錢包用戶上週通報資金損失,一名客戶更收到遭竄改的裝置,這家總部位於巴黎的製造商正與主管機關合作,同時向客戶保證受影響產品數量「有限」。

該公司在週日發布的聲明中表示,也已直接聯繫受影響的客戶。

調查始於 Ledger 週五表示,已著手調查東南亞客戶在向經銷商購買裝置後資金損失的通報。週六,公司證實其中一台受影響用戶的裝置含有未經授權的硬體植入。

硬體錢包的設計目的是將用戶的私鑰保存在離線環境,在簽署交易時不會暴露控制資金的憑證。這種安全模型依賴裝置在送達時未被動手腳,因此嵌入硬體中的未經授權植入,已超出其原本設計防範的威脅範圍。

Ledger 尚未證實損失金額,但區塊鏈調查機構 Specter 表示,已有 8,600 萬美元從裝置中被盜。

「隨著調查持續進行,我們正與相關主管機關合作,」Ledger 週日在 X 上的聲明中寫道。其 Ledger 支援帳號也分享了更多更新,包括在該平台上的後續貼文。

聲明補充:「此外,我們強烈建議用戶不要向未經授權的經銷商購買,因為購買可疑、仿冒或遭修改裝置的風險很高,這些裝置皆未遵循 Ledger 的安全規範。

「安全不是靜態的,這起事件凸顯了我們持續審查並強化經銷與防竄改流程的原因。」

東南亞客戶上週通報,在向位於馬來西亞吉隆坡的商家 CryptoBilis 購買裝置後損失資金。Ledger 建議曾向 CryptoBilis 購買的客戶不要設定其裝置,如 Bitcoin Magazine 先前報導。根據週日的聲明,CryptoBilis 此後已停止銷售硬體錢包。

這個區別很重要,因為網路釣魚是靠誘騙用戶在網路上交出憑證,而硬體植入則在裝置開箱那一刻、甚至在開始設定之前,就已存在於硬體之中。

社群媒體上的用戶已張貼 Ledger 產品內部植入物的照片證據,聲稱這些改裝可能會暴露用戶的私鑰。目前仍不清楚有多少台 Ledger 的簽署裝置含有該植入物。

Ledger CryptoBilis 均未立即回覆 Bitcoin Magazine 的提問。隨著調查持續,後續值得關注的是主管機關的調查結果,以及明確的受影響裝置數量和經證實的損失總額是否會獲得確認。

自 7 月駭客從 Coldcard 用戶竊取近 1.2 億美元的比特幣以來,硬體錢包安全一直受到嚴密檢視,如 Bitcoin Magazine 當時報導。這些由加拿大公司 Coinkite 製造的裝置含有韌體缺陷,導致種子碼生成錯誤,實際上讓駭客得以猜出投資人的種子片語。

在上個月的另一起事件中,硬體錢包製造商 Trezor 通報近 81,000 名客戶的資料外洩,因其第三方履約合作夥伴遭竊取資料,如 Bitcoin Magazine 所報導。

犯罪分子今年持續鎖定客戶資料,詐騙者透過 Ledger 使用的金流服務商 Global-e 取得客戶資訊來發送釣魚郵件。綜觀這些事件,攻擊面已涵蓋裝置經歷的整條路徑——韌體、履約、金流處理與轉售通路。

本文由 Mathew Di Salvo 撰寫,首度發表於 Bitcoin Magazine。