Ledger经销商设备被指植入窃取助记词模块

Ledger 10 月 9 日声明正在调查东南亚部分用户资产丢失，出事设备均来自官方授权经销商 CryptoBilis，公司记录显示其 2026 年 3 月被收购、8 月 3 日起由一名中国黑龙江注册者持股 100%。链上分析师 Specter 估算约 98 个钱包受损、损失超 8690 万美元，tanuki42 估算超 7200 万美元，Bitquery 覆盖 311 个钱包给出约 9290 万美元，Ledger 未确认最终数字。Mt.Gox 前 CEO Mark Karpelès 称拆机发现带 SIM 卡芯片的间谍模块，慢雾 23pds 分析称加装的微控制器接入屏幕 SPI 数据线记录助记词并经 LTE/eSIM 发送，两份分析尚无独立第三方验证。Tether 已开始冻结部分被盗 USDT，Ledger 建议相关用户将资产转入全新助记词的新设备。

据慢雾安全团队 CISO 23pds 披露，有研究者指出 Ledger 硬件钱包可能遭遇 PCB 级供应链攻击：在设备屏幕数据线（如 SPI 总线）上植入恶意模块，被动监听并录制助记词显示过程，再通过 LTE/eSIM 将助记词发送给攻击者，进而转移用户资产。该间谍模块仅被动只读、不触碰固件与安全元件（SE），设备开机自检无法发现异常，被攻破的安全边界是 MCU 到屏幕之间的明文总线。Ledger 官方已就东南亚地区用户资金损失事件展开调查，问题设备疑与马来西亚经销商 CryptoBilis 有关，Ledger 已要求其暂停所有销售与发货。

ChainCatcher 消息，慢雾安全首席信息安全官 23pds 发文称，若 Ledger 设备 PCB 确如 Mt. Gox 前 CEO Mark Karpelès 所述被修改，攻击者需具备相当高的技术水平。23pds 描述的可能流程是：钱包在安全元件内生成助记词并显示在屏幕上供用户抄写，恶意模块通过 SPI 等屏幕数据线路获取显示内容，记录完整助记词后再经 LTE/eSIM 发送给攻击者；安全元件可防止私钥被直接读取或导出，但无法阻止外部模块获取屏幕正在显示的信息。他表示该分析建立在 PCB 确遭所述改装的前提下，攻击路径及硬件植入情况仍有待独立验证。Mark Karpelès 此前发文称，其收到的一台 Ledger 硬件钱包疑似被植入间谍模块，设备来自马来西亚，外包装热缩膜完好，植入物隐藏在屏幕缓冲垫位置，包含 LTE 通信组件、天线、eSIM 及连接 Ledger SPI 总线的微控制器。

Mt.Gox 前 CEO Mark Karpelès 称其从马来西亚购得的 Ledger 设备内藏有带 SIM 卡芯片的间谍模块，隐藏于屏幕衬垫位置，外包装完好。慢雾首席信息安全官 23pds 分析称，攻击流程或为恶意模块接入屏幕数据线，记录生成助记词时显示的单词，再通过 LTE/eSIM 发送给攻击者；安全元件只能保护私钥不被读取，无法阻止屏幕内容被截取。