Ledger确认CryptoBilis销售的钱包内藏芯片窃取24词助记词

Ledger解释屏幕读取芯片的工作原理

Ledger已经查明了藏匿在受影响硬件钱包内部的非法组件是如何窃取助记词的。该公司Donjon安全团队在10月13日的更新中描述了这个未经授权的部件:它被安装在设备外壳内,负责读取屏幕上显示的数据。买家初始化设备时,屏幕会展示24词助记词,此时该植入件的微控制器会解码这些词语,并通过预先配置的eSIM,借助LTE移动网络将其发送出去。这个附加组件没有触碰存储私钥的安全元件,也未改动设备操作系统,交易和签名过程均不受影响。Ledger将10月9日披露事件中所有已确认的资金损失,都与东南亚经销商CryptoBilis售出的设备联系起来,并表示尚未发现从其他渠道购买的签名器出现资金被盗。受影响用户数量和损失总额目前均未获官方确认,公司指出网络上流传的数字全部来自第三方。

@Ledger · X 帖子

更新.

在 X 上查看

影响沿分销链条蔓延

后果已经远远超出了被篡改设备本身。区块链调查人员给出的损失估算超过8600万美元,部分分析甚至突破了9000万美元,但Ledger没有核实其中任何一个总额,其自身的案件统计仍在进行中。公司表示正在配合执法部门并联系受影响用户,且没有任何迹象表明其基础设施、内部系统或直营销售渠道遭到入侵。首席执行官Pascal Gauthier写道,调查仍在试图确认是谁篡改了这些签名器,以及篡改发生在分销链条的哪个环节,并称物理供应链篡改是“整个行业面临的风险”。经销商的处境同样发生变化。另一家钱包厂商OneKey于10月13日撤销了CryptoBilis的经销商授权。CryptoBilis前创始人Vimalatheethan和Arravind Prabu在LinkedIn上发表声明,否认与该事件存在任何关联,称今年3月的所有权变更已使公司脱离他们的掌控。币安联合创始人赵长鹏则对部分报道内容提出质疑,认为黑客可能已经接管了CryptoBilis,并利用保密协议让相关方保持沉默。

@_pgauthier · X 帖子

写道.

在 X 上查看

买家指引与Tibane Labs的发现

Ledger的官方指引针对两类买家。凡是购自CryptoBilis且尚未初始化的设备,用户应保持原状并先联系客服。已经完成设置的用户,则应把资产转移到使用全新生成助记词的新签名器上;如果把资金迁移到同一助记词派生的其他地址,攻击者的访问权限依然有效,这一区别在我们的助记词存储指南中有详细说明。Ledger还发布了拆机检查设备内部的教程,同时警告拆解可能损坏硬件,并表示Donjon团队将对收到的设备进行检查并公布进一步结果。持有可疑设备的用户在寄出之前,应先联系Ledger客服或报警。更早的一条记录同样值得写入档案:独立调查团队Tibane Labs此前已在从CryptoBilis渠道之外购买的Ledger Nano X上报告了同一种屏幕读取设计,只是无法把那台设备与已确认的损失挂钩。调查期间,CryptoBilis已停止销售Ledger设备。加密钱包的防护模型建立在助记词永不离开设备这一前提之上,正因如此,暴露风险出现在初始化设置的瞬间,而不是日常签名的环节。

已确认事实仍然有限

经核实的记录至今仍然很窄:一台经过实体检验并确认植入件的设备、一条销售渠道,以及一个Ledger尚未最终敲定的受害用户统计。超过8600万美元的独立估算数字建立在地址聚类分析之上,而这类归因会随着分析师重新划定转账归属而变动,因此任何数字都应附带其分析方法和时间戳。这一机制也改写了许多买家原本以为已经闭合的安全边界:由于植入件位于安全元件之外,也不在任何覆盖固件的真实性校验范围之内,助记词在显示出来的那一刻就已经暴露。对未经证实的数字保持怀疑是合理的,但当这种怀疑把已确认案例和估算混为一谈时,就会滑向FUD。接下来值得关注的披露,是经过核实的序列号范围和完整的取证报告。