Ledger植入窃贼从任务诈骗操盘手手中扫走60枚以上比特币(BTC)

三个冷钱包一次性被清空

三个Ledger冷存储地址在10月9日被逐一单笔转空,合计超过60枚比特币(BTC),按当前比特币价格计算约值480万美元。链上分析公司Chainalysis确认,受害者的身份是某任务诈骗的操盘手。Chainalysis在10月15日晚间发布于X的详细帖子中指出,这名受害者是Ledger硬件植入窃案中单笔损失最重的对象之一。该发现首次把两条犯罪线索,诈骗收入与设备篡改,串成同一条资金流。这起大案自东南亚陆续出现被篡改设备抽干用户资产以来已公开多时,但此次更新首次揭示了其中一笔最大单笔损失究竟属于谁。

这起诈骗的手法并不新鲜,结局却更冷。受骗者被雇去伪造真实产品的销售与好评并领取报酬,随后被要求面对一笔无法抹平的负数余额,只能自掏腰包存入资金来“释放”所谓的收益。以此方式榨取的资金在9月22日被转入三个互不相同的Ledger地址,随后在冷存储中静置了十七天,一场被迫的HODL以一次清空收场。攻击者随后对三个地址各发起一笔转账,全部汇入同一个已被标记为藏有赃款的目的地钱包,这种归集手法让这笔赃款跻身链上受监控的加密巨鲸集群之列。按每枚接近8万美元的均价计算,仅这一名受害者的损失就已位居该案迄今认定的最大单笔金额之列。地址、转账时间与共同目的地均可上链核验;受害者身份尚未公开,链上分析帖子仍是这一关联目前唯一的公开记录。

间谍植入、CryptoBilis与不断上调的总额

私钥究竟如何离开设备?Ledger官方事件账号给出了答案。公司博客的回应描述了一个犯罪团伙的完整链条:先购买正版硬件钱包,拆开后加装隐蔽组件,用于在用户初始化设备的瞬间截获24词Ledger恢复密钥,再把篡改后的库存经由东南亚的分销渠道重新流入市场。这类设备的核心承诺是助记词永不离开安全环境,而植入组件恰恰击穿了这一点:它在短语生成的那一刻就被读取,用户毫无核验机会。Ledger强调,其芯片、操作系统与服务器从未被攻破,也就是说,问题完全出在转售供应链,而非公司自身基础设施。对回收设备的独立检测证实,植入组件可通过LTE或eSIM在移动网络上传输完整短语,因此即便初始化时完全离线,也无法阻止数据外泄。迄今所有已确认的损失,均可追溯至分销商CryptoBilis售出的设备。

就案件规模而言,Ledger仍未公布官方损失总额。链上持续统计目前约为1.02亿美元,涉及六条区块链上的324个钱包,其中包括比特币,较事件早期流传的约9320万至9450万美元的估计有所上调。Tether已冻结约1000万美元相关USDT。前后数字的差额来自新识别地址被陆续纳入追踪集合,所有这些总额均应视为链上估算值,尚待公司确认。

初始化被截获,而非链本身被攻破

入账与清空之间十七天的时间差,是判断这起案件性质的关键细节。9月22日进入冷存储的比特币在10月9日被清空,当天正是植入窃案出现大规模资金外流的日子,这说明密钥是在设备初始化时被截获的,而非比特币本身出现任何形式的破解。这不是一次重放攻击,也不是密码学层面的失败;助记词是在它被创建的地方被读取的。一旦Ledger恢复密钥外泄,冷存储便失去意义,因为攻击者直接用密钥签名,根本不需要设备。由此得出的补救路径也很明确:凡是通过受影响分销渠道购入设备的用户,必须把原有配置视为已泄露,并将资金转移至全新生成的密钥。目前事件本身仍有一处悬而未决:Ledger已确认植入组件的存在,但尚未公布任何官方损失总额。