作者：Nancy，PANews
助記詞沒有外洩，也未與外部設備交互，硬件錢包里的資產卻在一夜之間被轉走。10月9日，一場涉及超9300萬美元的資產被盜事件，將老牌硬件錢包Ledger推上風口浪尖。
隨著事件持續發酵，從第三方經銷商被曝悄然易主，到設備內部疑似被植入間諜模塊，多個線索引發外界對攻擊路徑的猜測，但事件的具體原因仍未查明。這場安全風波不僅讓Ledger面臨信任危機，也再次將硬件錢包的安全性推向輿論焦點。
超9300萬美元被盜，攻擊者提前數周佈局
10月9日，X和Reddit上陸續有Ledger用戶聲稱錢包被盜。不少用戶表示，自己的助記詞一直手寫保存、妥善保管，硬件錢包也幾乎沒有與外部設備交互，資產卻依然被清空。還有用戶稱，錢包出現了自己不知情的無限授權簽名。種種反常跡象，讓這起安全事件迅速引發關注。
根據受害者披露的信息，業內普遍將此次Ledger被盜事件歸因於供應鏈攻擊。多名用戶表示，是通過第三方經銷商CryptoBilis購買了Ledger設備，且部分設備購入和啓用時間並不長。
隨後，Ledger在回應中也將調查重點指向經銷商CryptoBilis。該公司表示，正在調查東南亞地區從CryptoBilis購買設備的用戶資金被盜事件，並已要求該經銷商暫停所有Ledger設備的銷售和發貨。同時，Ledger建議，過去90天內從該經銷商購買設備的用戶，如果尚未初始化設備，切勿進行設置；如果已經完成設置，則應將資產轉移至使用全新助記詞初始化的新設備。
據鏈上數據分析平台YFarmX追蹤，攻擊者從7條區塊鏈上的471個地址轉走約9340萬美元，其中絕大部分損失發生在10月9日。目前，攻擊者已將價值超過300萬美元的ETH轉入混幣器Tornado Cash。與此同時，Tether已凍結竊賊錢包中價值1000萬美元的USDT。不過，另有1460萬美元資金以USDD形式持有，無法通過Tether凍結。
從資產分布來看，波場是此次事件的重災區，損失主要集中在USDT，金額約為6998萬美元。其中，單個波場地址損失最高達700.1萬枚USDT。比特幣網絡上的損失則達到1759萬美元，超過90%的被盜BTC來自首次獲得資金時間不足90天的地址，其中損失最嚴重的一個比特幣錢包在轉入80枚BTC僅一周後，資產便被全部轉走。
值得注意的是，此次受影響的錢包並非都屬於新設備。據YFarmX分析，被清空地址的使用時間跨度很大，既包括創建僅數天的錢包，也包括已經存在五年以上的錢包。這意味著，受影響範圍可能並不局限於近期購入或啓用的設備。而鏈上追蹤顯示，這些地址的資產轉移均通過有效簽名或此前授予的授權權限完成。
更值得警惕的是，攻擊者似乎早已為此次行動做足準備。相關操作錢包最早於9月24日開始獲得資金，隨後陸續測試多鏈轉賬、授權及資金歸集流程，並提前部署自動化資金轉移機制。這些跡象表明，此次被盜事件背後或是一場有組織的攻擊行動。
授權經銷商悄然易主引猜測，CryptoBilis暫停多國銷售
CryptoBilis由此被推上風口浪尖。與不明渠道商不同，CryptoBilis是Ledger在馬來西亞、印度尼西亞和菲律賓的官方授權經銷商，雙方合作已有約5年。然而，隨著攻擊事件發酵，這段長期合作關係也開始受到質疑。
CryptoBilis前CEO Arravind Prabu隨後出面回應稱，他已於今年早些時候退出公司，此前CryptoBilis已被收購，他不再參與任何運營或管理事務，也不再擁有相關係統的訪問權限，無法訪問公司的賬號、後台或業務系統。目前，CryptoBilis賬號由新管理團隊運營，相關帖文也由新團隊發佈。由於受到合同保密條款約束，他在法律上有義務暫緩對外發佈相關公告，直至10月19日。他同時表示，願意向Ledger提供歷史背景信息，協助調查。
不過，這番回應並未平息社區質疑。一些用戶指責Arravind Prabu在未向Ledger披露的情況下出售公司，也有人質疑Ledger未能及時審查授權經銷商的股權變更及經營狀況。
據Bitcoin News披露的信息，截至8月3日，一名登記地址位於中國黑龍江省、名為Jiaming的人士持有CryptoBilis 100%的股份。值得一提的是，這名新董事在9月7日辭職。
經銷商易主、保密期限與此次錢包被盜事件疊加，進一步加深了市場對CryptoBilis的懷疑。尤其是除了Ledger外，該經銷商還銷售Trezor、SafePal、Tangem和OneKey等多個品牌的硬件錢包，這也讓事件的影響範圍受到更多關注。
不過，截至目前，尚無確鑿證據表明CryptoBilis的股權變更與Ledger設備遭篡改存在直接關聯。硬件錢包從工廠出廠到最終交付用戶，可能經過製造、運輸、倉儲和經銷等多個環節，任何環節出現問題，都可能引入額外的安全風險。
事件發生後，CryptoBilis已暫停Ledger設備的銷售和發貨，並表示尚未激活設備的用戶應停止設置，已經激活的用戶則應將資產轉移至使用全新助記詞初始化的新設備。CryptoBilis還提醒用戶切勿洩露助記詞或PIN碼，遭受損失的用戶應保留設備及交易記錄並報警。
同時，該公司進一步宣佈，暫停馬來西亞、菲律賓和印度尼西亞所有門店及線上渠道的全部品牌硬件錢包銷售與發貨，實體門店也暫時關閉，並表示預計將在三個工作日內公佈進一步進展。
Ledger被曝藏有間諜模塊，硬件錢包安全再遭拷問
面對Ledger硬件錢包被盜疑雲，有人拆機檢查後發現設備內部異常。
Mt. Gox前CEO Mark Karpelès發推文稱，他從馬來西亞購得的一台Ledger設備內部藏有帶SIM卡芯片的間諜模塊。儘管設備外包裝的熱縮膜完好，拆開後也難以立即發現異常，植入物被隱藏在屏幕原本應放置緩衝墊的位置。
據其披露，該模塊包含LTE通信組件、天線、eSIM及連接Ledger SPI總線的微控制器，能夠分析設備向用戶顯示的字符，並在助記詞設置完成後發送相關數據。攻擊者可能監控受害者的錢包地址，並選擇時機轉移資產。
慢霧首席信息安全官23pds也分析稱，攻擊流程或為惡意模塊接入屏幕數據線，記錄生成助記詞時顯示的單詞，再通過LTE/eSIM發送給攻擊者；安全元件只能保護私鑰不被讀取，無法阻止屏幕內容被截取。
不過，間諜模塊並不能直接證明與此次大規模盜幣事件存在直接關聯，也不能排除其他攻擊路徑。比如，攻擊者可能在設備交付用戶之前就預先生成助記詞並留存記錄，隨後重新封裝設備，再將其交付給用戶。用戶按照正常流程完成設置，看似獲得了一台全新的硬件錢包，實際上對應的私鑰卻可能早已被他人掌握。此前，國內也曾出現用戶通過京東、抖音等電商平台購買硬件錢包後，因設備可能遭到預先篡改而導致資產被盜的案例。
對此，慢霧創始人余弦在X平台發文稱，Ledger經銷商事件之後，硬件錢包或許需要將拆機自毀機製作為重要的安全設計，否則就應提供其他機制，證明用戶拿到的是官方原裝設備。但dForce創始人Mindao認為，拆機即自毀反而可能讓用戶更難判斷設備是否被改裝，而可拆卸設計至少能讓專業人員對照電路圖檢查硬件。他還指出，Ledger官網已提供硬件完整性檢查指南，但對普通用戶而言過於硬核。
除此之外，攻擊者還可能利用經銷商掌握的客戶訂單和聯繫方式，偽造Ledger官方郵件或搭建釣魚網站，誘導用戶在設備設置過程中洩露助記詞。不過，考慮到攻擊者事先進行測試轉賬，這種可能性較低。
此次事件的最終原因仍有待Ledger進一步調查並公佈，但對於受害者而言，已經被轉移的資產恐怕難以追回。
對於持幣用戶而言，此次Ledger被盜事件再次敲響了警鐘，硬件錢包並不意味著絕對安全，設備本身的安全性只是整個密鑰管理鏈條中的一環。選擇可信的購買渠道固然重要，但同樣需要關注設備完整性，妥善保管助記詞，並警惕任何索要助記詞或PIN碼的行為。一旦懷疑助記詞已經洩露，應盡快將資產轉移。