Ledger调查与经销商CryptoBilis相关的8600万美元比特币(BTC)盗窃案

Ledger暂停一家授权经销商

硬件钱包制造商Ledger已对约8600万美元的加密资产盗窃案展开调查,涉案设备经由其东南亚授权经销商CryptoBilis售出。该公司周五通过其客服账号表示,调查期间已要求CryptoBilis暂停一切Ledger产品的销售与发货。过去90天内从该经销商处购买设备的用户被告知不要激活设备;已经激活的用户则被建议将资产转移至新的Ledger签名设备,并重新生成助记词。Ledger在声明中称,本次事件似乎仅限于该经销商及其所在市场,公司未收到任何涉及官方直购设备的报告,其基础设施、系统与服务均未遭到入侵。被盗钱包中持有比特币(BTC)、以太坊和波场(Tron),链上研究人员按比特币价格加权估算,合计损失已超过8600万美元。

@Ledger_Support · X 帖子

客服账号.

在 X 上查看

调查者追踪数百个钱包的流入

链上研究者的动作快于公司本身。匿名调查者Specter在X上发文称,Ledger用户在X和Reddit上陆续反映钱包被盗,追踪疑似盗窃地址后发现,资金流入来自比特币、以太坊和波场上数百个受害钱包,合计超过8600万美元。另一位研究者tanuki42则锁定8个地址,称其关联损失超过7200万美元。加密安全组织SEAL转发了这些发现,并呼吁任何资金被转入上述标记地址的受害者联系其应急响应团队。截至目前,Ledger既未确认上述估算数字,也未公布失窃原因,更没有说明设备本身是否被动手脚。各起案件是否共享同一作案机制同样没有定论,但到目前为止,所有报告都指向同一条渠道:一家经销商。

@SpecterAnalyst · X 帖子

在X上发文.

在 X 上查看

CryptoBilis与供应链攻击理论

CryptoBilis是一家总部位于吉隆坡的线上商店,2020年12月由Arravind Prabu、Vimal Selvamany和Dhivager Rathakrishnan在其公司Fetch International名下创办。该店在2021年宣布成为这家巴黎钱包制造商的授权经销商,并被列为印度尼西亚、马来西亚和菲律宾的授权销售方。其官网将自己包装为东南亚值得信赖的Web3品牌,除Ledger设备外还销售Tangem钱包、SafePal、OneKey和Trezor。目前关于失窃的主流推测是供应链攻击:设备在到达用户手中之前被篡改,出厂时写入的助记词早已被攻击者掌握,一旦资金转入钱包即可被清空。研究者在2023年曾记录过这类手法:一台被篡改的Trezor Model T主芯片遭更换,软件被设置为只向用户分发攻击者掌握的20个助记词之一,攻击者等待约一个月后才将其掏空。前Mt. Gox负责人Mark Karpelès也提到,有说法称经销商出售的Ledger设备被植入旨在窃取密钥的间谍软件。以上机制均未在本案中得到证实。

硬件钱包安全的艰难时期

本案发生在该行业近年来最惨重的一连串事故之中。今年7月,Coinkite制造的Coldcard设备因固件漏洞导致种子生成出错,攻击者得以有效猜出种子,从用户手中盗走接近1.2亿美元的比特币;Galaxy Research后来表示,多名攻击者是各自独立利用了这一缺陷。上个月,Trezor披露约81,000名客户的信息经由一家第三方履约合作方泄露。Ledger自己也有前科:今年1月,其支付服务商Global-e泄露客户数据,骗子随后利用这些数据发送钓鱼邮件。不过,并非所有人都接受把本案定性为零日设备漏洞。安全研究员Taylor Monahan警告称,一些放大失窃报告的账号正在诱导用户做出恐慌操作,而迁移资产的搜索行为恰恰为钓鱼页面、虚假广告和仿冒应用创造了可乘之机。种种审查给Ledger带来了额外压力,该公司已在5月以市场环境不佳为由放弃了计划中40亿美元的美国IPO。

问题在渠道,而非芯片

我们对现有证据的判断是,薄弱环节在零售渠道而非设备本身:所有已确认的报案都涉及从CryptoBilis购入的设备,而从Ledger官方直接购买的买家至今没有报案。这仍然冲击了冷钱包的核心承诺,因为一台被篡改的设备放在货架上,与一台封装完好的设备看起来毫无区别。在调查查明机制之前,实操建议如下:暂缓激活近期购买的设备,把已激活的钱包迁移到使用全新助记词的新签名设备,并只通过官方渠道购买,像甄选最佳加密货币交易所时那样保持同样的审查纪律。目前损失总额已超过8600万美元,随着更多受害者现身,这个数字还可能继续上升。