Ledger确认CryptoBilis盗案设备存在硬件植入 涉案约9300万美元

用户设备内确认植入硬件

Ledger于10月11日确认,至少一名受影响用户的硬件钱包内发现了“未经授权的硬件植入”,这是该公司在此起东南亚盗取案中首次正式承认设备遭到物理篡改。在其客服声明中,公司表示这一发现来自对经由CryptoBilis售出设备的调查,后者是其在马来西亚、印尼和菲律宾的授权零售伙伴。Ledger强调,没有证据显示其自身基础设施、系统或服务遭到入侵,事件被定性为供应链或实体设备层面的破坏,而非针对其服务器、固件或安全芯片的远程攻击。安全研究团队Tibane Labs的拆解说明了作案机制:攻击者没有直接攻击安全芯片,而是加装了一块微型电路板,窃听芯片与OLED屏幕之间的数据线路。用户初始化新设备时,Ledger会在屏幕上显示24个单词的助记词,植入件随即读取送往屏幕的像素数据,识别出这些单词,并通过自带的LTE模块、SIM卡和天线外传。拿到助记词后,攻击者可以在另一台设备上重建该钱包及其保护的私钥,无需再接触受害者的设备。由于植入件未触碰安全芯片和固件,Ledger的正品校验依然会把设备判定为真,这与伪造克隆设备或代码层面的软分叉是完全不同的失效方式。Tibane Labs已记录至少三代植入件:从需要压缩原电池的手焊原型,到匹配工厂测试点的定制柔性电路板,配备蜂窝芯片、eSIM以及打磨掉丝印的仿配色的元器件。研究人员认为,这种工艺水准指向一个有资金支持的组织化行动,而非个人爱好者的手笔。

@Ledger_Support · X 帖子

在其客服声明中.

在 X 上查看

Bitquery将涉案金额上调至9320万美元

链上分析机构Bitquery重新追踪了与本案关联的地址,目前估算涉案金额约9320万美元,分布在包括比特币、以太坊、波场、BNB Chain和Polygon在内的六条区块链上的315个钱包中,其中波场上的资产占比最大。需要说明的是,这是第三方的链上归属判断,Ledger并未确认315个钱包的数量或总额。Bitquery的追踪显示,被盗资产经由Tornado Cash、Zcash以及其他交易所渠道流转,最新更新中有1736枚ETH被推入这些通道,另有约535万美元的USDC仍停留在Circle有权冻结的地址中。Tether已经出手,冻结了与疑似盗取关联地址上约1000万美元的USDT,这是原生的BTC和ETH持有者在资金转出后无法使用的杠杆。在涉案金额不断扩大的压力下,CryptoBilis的行动超出了最初暂停销售Ledger产品的范围,在调查澄清之前停售其全部硬件钱包库存,并与执法部门及Ledger安全团队共同对分销链路做全面审查。这家经销商之所以关键,在于它并非匿名网店,而是正规销售渠道,这使得调查可以集中于一条零售管线,而非Ledger的全球产品线。Ledger表示,迄今所有已确认的资产被盗案例都涉及经CryptoBilis售出的设备,其直销渠道未出现类似问题。对于近几个月从该经销商处购买的客户,指引很直接:不要初始化仍然封存的设备;如果资金已经放在设备上,应将其转移至一台全新受信设备,并使用一套全新的助记词,因为一旦助记词在已被破坏的屏幕上显示过,就必须假定已经泄露。

直销渠道无损失

我们的判断是,这起案件同时改写了两个默认假设。第一,隔离环境的硬件钱包是否可信,取决于它的分销路径:破坏发生在工厂与客户之间,发生在一个有名有姓的授权经销商处,因此从本地经销商购买不再天然比厂商直销加验封更安全。第二,补救选项按资产类型分裂:Tether和Circle合计可冻结超过1500万美元,而被转走的BTC和ETH实际上已无法追回,这是中心化稳定币与原生资产之间的结构性差异。关于Ledger服务器被入侵的传闻目前缺乏证据支持,把整个事件当作针对公司的FUD来处理则有失分寸;已确认的问题只涉及一条经销商管线,实际的做法是走直销下单、检查封条,并在存有任何疑虑时更换助记词。