安全研究员Taylor Monahan:新一轮Ledger资金损失源自恐慌骗局,而非硬件植入

恐慌驱动的骗局,而非硬件泄密

安全研究员Taylor Monahan表示,她近期经手的与Ledger相关的新一轮资金损失报告,源头是针对恐慌用户的骗局,而非CryptoBilis事件中那批被植入芯片的硬件钱包。在10月14日播出的播客《Uneasy Money》(她本人是联合主持人)中,Monahan说明,近几天送到她手里的案例,并不是由转售商CryptoBilis所售钱包中发现的蜂窝组件导致的Ledger清空事件。整整一周她都在收集事故报告,直接与Ledger方面协作,也获得了另一家硬件钱包厂商Trezor的协助,不过她没有公布具体案例数量。她列举的攻击路径包括:用户搜索安装Ledger Live时弹出的虚假Google广告、仿冒应用、钓鱼网站、旨在恐吓持有者的邮件,以及直接打给受害者的电话。Ledger Live是该公司用于管理账户的官方配套应用,其搜索结果因此长期成为广告欺诈的目标。Monahan指出,上述每一条路径都是在原有盗窃之上叠加的新损失,起因只是人们慌了神,这种由恐惧驱动的行为恰是FOMO式追涨buy入的镜像。她的建议很直白:不要恐慌。这些路径都不需要接触设备实物,这正是它们与植入芯片案的区别所在。她补充说,在她审阅的报告里,涉事设备均购于6月至10月初之间。Monahan自己仍在使用Ledger和Trezor硬件,并计划今后更谨慎地选择购买渠道,同时把持仓分散在多台设备、多个地点和纸面备份之中,确保任何单一环节失效都不会造成全损。联合主持人Austin Griffith则提到了多签方案:在这种安排下,硬件钱包只是多个必需签名者之一,一旦泄露或丢失即可更换。

1.02亿美元的CryptoBilis植入事件

事件本身的全貌仍有待厘清。Ledger于10月13日(星期二)证实,CryptoBilis钱包内藏有的未经授权组件会读取设备屏幕上显示的24个单词的Ledger恢复密钥,并通过蜂窝连接向外发送。恢复短语是钱包的完整主密钥:任何人掌握这24个单词,就能重建全部账户并转走其中所有资产。该公司声明,所有已确认的损失都涉及经CryptoBilis售出的设备,而非其官方直营渠道,公司既未公布总体损失数字,也未说明有多少台设备携带了该组件。链上数据机构Bitquery统计显示,损失总额达1.02亿美元,波及324个钱包,这一数字属于调查方的统计,并非Ledger官方核实的结果。模仿作案已经开始出现:区块链安全公司SlowMist于10月16日(星期五)发出警告,有钓鱼活动假借Ledger固件升级之名,把这次事件当作诱饵;该警报与Monahan描述的案例相互独立,双方均未声称存在关联。SlowMist的警报发布于Ledger支持公告两天之后。而在9月,Zscaler ThreatLabz记录了另一起独立行动:攻击者投放虚假Google广告,把Ledger用户引向收集恢复短语的伪造页面,这一行动同样未与她的案例建立任何关联。Ledger支持团队在10月14日(星期三)发布于X的帖子中划清了界线:公司绝不会致电客户、发送私信,也绝不会索取24个单词的恢复短语。

@SlowMist_Team · X 帖子

发出警告.

在 X 上查看

一次失窃,两层损失

把两条记录放在一起看,这是一次双层的损失事件:第一层来自被植入组件的设备的直接清空,第二层则是借第一层引发的恐惧而滋生的新的盗取。主事件的记录仍缺少公司确认的总数;1.02亿美元只是Bitquery的统计,Ledger仅核实了所有已确认损失均源于CryptoBilis渠道的购买。在Ledger完成评估之前,实用的防范措施没有变化:凡是索要恢复短语的来电、私信或广告,一律当作攻击处理;只在官方直营渠道购买硬件;并考虑采用多签或增设一台设备,例如Tangem移动钱包,让单个签名者被攻破不再致命。我们整理的加密骗局防范指南对这些危险信号有详细说明。