新加坡警方通报:篡改Ledger硬件钱包致350万新元损失

350万新元损失源于篡改设备

新加坡的加密货币用户因购买自本地零售商的篡改Ledger硬件钱包,累计损失约350万新元,折合约270万美元。新加坡警方在星期三发布的公告中表示,自9月10日以来已记录至少两起案件。初步调查显示,部分涉案设备内部被植入未经授权的硬件组件,能够捕获用户的助记词或私钥,而后者正是最终控制链上资金访问权限的凭证。助记词通常由12个或24个单词组成,在设备初始化时生成,相当于整个钱包的总备份。警方指出,涉案设备经过物理改装,可以窃取敏感信息并执行未经授权的转账。攻击者一旦拿到完整助记词,就能在另一台设备上重建该钱包,并在未经持有人同意的情况下转走余额。硬件钱包的核心承诺在于离线隔离,让密钥远离联网的热钱包环境,而物理植入的组件等于从密封包装内部击穿了这道防线。警方称目前正与Ledger保持联系,后者正在复核涉案案例,警方调查仍在进行。350万新元仅涵盖在新加坡报案的损失,与早前一个区域性估算分开统计:区块链分析师曾估计,与被盗钱包相关的损失超过8600万美元,Ledger表示无法确认这一总额,也无法确认受影响用户数量。该公司坚持认为,其自有系统和直营渠道均未牵涉已确认的事件,警方也尚未说明改装发生在分销链条的哪个环节。

Karpelès发帖指向机场购入设备

这起篡改事件于10月9日公开曝光,当时被盗资金的报告集中在经授权分销商CryptoBilis售出的设备上,该分销商在印度尼西亚、马来西亚和菲律宾开展业务。数日后,Mt. Gox前首席执行官Mark Karpelès在帖子中表示,他在新加坡机场购买的Ledger Flex内置间谍组件。另有用户声称持有从IT零售商Challenger购入的篡改设备,并称Ledger随后为其寄送了替换机。与警方案件相关的设备已追溯至樟宜机场一家Metapod门店和怡丰城一家Challenger门店。10月10日,Ledger确认在一台受影响钱包中发现未经授权的硬件植入,并开始排查涉及同一分销商售出设备的其他报告。其Donjon安全团队认定,该组件可以捕获初始化时显示的24词助记词,并通过LTE移动网络发送给攻击者。植入组件独立于设备的Secure Element运行,后者是专为保护密钥设计的芯片,且无需改动钱包操作系统即可生效。10月13日,Ledger要求新加坡、马来西亚、印度尼西亚、泰国、菲律宾、越南和香港的经销商及分销商暂停销售和发货,同时继续审查。过去90天内从CryptoBilis购入设备的客户被告知不要初始化尚未使用的钱包,已在使用设备的用户则被建议将资金转移至使用全新助记词的另一钱包。影响此后扩散至东南亚以外:德国电子产品零售商MediaMarktSaturn在10月13日于其门店和线上渠道暂停销售Ledger设备,此前当地一名客户报告设备内含未经授权的组件,不过该案例没有造成资金损失。

@MagicalTux · X 帖子

在帖子中表示.

在 X 上查看

两份报告放在一起看,指向的是发生在分销环节而非Ledger生产线或基础设施层面的入侵。警方公告确认了新加坡零售渠道的实际损失,而前述超过8600万美元的分析师估算则暗示,即便在没有核实数字的情况下,真实波及范围可能更广。问题也不局限于一家厂商:10月26日,竞争对手厂商Keystone披露其认证密钥遭到入侵,25964名客户的数据外泄,公司被迫销毁18835台设备,但表示助记词和私钥未受影响。围绕硬件钱包持续数周的山寨币市场之外的恐慌情绪,如今有了警方立案记录和具名的企业回应作为依据。在区域渠道恢复之前,买家应优先选择官方直营渠道,并在初始化任何设备前了解主要的硬件钱包安全威胁。