Ledger 确认硬件钱包被盗币事件源于间谍芯片植入

# Ledger 确认钱包加密货币盗窃案背后存在间谍芯片植入 来源：https://www.bleepingcomputer.com/news/security/ledger-confirms-hardware-wallet-spy-implant-behind-crypto-thefts/ Ledger 已确认，部分通过东南亚经销商 CryptoBilis 分销的设备被植入了硬件间谍装置，该装置会清空用户的加密货币钱包。 该公司一直在调查用户报告的通过 CryptoBilis 购买的钱包丢失资金的事件。CryptoBilis 是一家总部位于马来西亚的大型硬件钱包零售商，业务遍布东南亚。 自 9 月 16 日以来，一些研究人员已经展示了 Ledger X 中的植入装置，并表示被篡改的设备售价仅为原硬件的一半左右。 Ledger 钱包是物理设备，旨在安全存储控制加密资产并授权交易的私钥。 10 月 9 日，Ledger 表示已启动对用户加密货币丢失报告的调查，并要求 CryptoBilis 停止销售和发货 Ledger 设备。 Ledger (https://x.com/Ledger_Support/status/2108551100613714002) 次日，该公司确认至少一台设备存在硬件篡改，但目前尚不清楚这些设备是如何以及何时被篡改的。 "Ledger 可以确认，一位受影响用户的设备中包含一个未经授权的硬件植入装置。Ledger 正在联系受影响的用户，作为持续调查的一部分，"Ledger 表示。 这家加密钱包制造商还表示，正在与执法部门合作，以确认作案者身份并将他们绳之以法。 "\[...\] Ledger 建议从该经销商处购买了 Ledger 设备的用户，如果尚未初始化，请不要进行设置。如果您已经完成了 Ledger 设备的初始化，请考虑将资产转移到新的 Ledger 签名器（使用新的助记词），"Ledger 警告称 (https://x.com/ledger_support/status/2108968264055345381)。 昨天，Ledger 提供了最新进展 (https://x.com/Ledger/status/2109331538072494364)，确认所有用户报告的意外资金清空事件均与通过 CryptoBilis 销售的设备有关，并将受影响的规模描述为"有限"。 虽然该公司未披露此次供应链攻击中被篡改的具体设备型号，但网上的报道均指向 Ledger X 设备中的间谍植入装置，该装置与合法硬件融为一体。 目前领导 Karpeles Lab Inc. 并担任 Shells.com 首席技术官的 Mark Karpelès 展示了一张 Ledger X 中新型植入装置的照片，称其相比此前使用手工焊接导线的版本是"相当大的进化"。 这位 Mt. Gox 前首席执行官表示，该植入装置隐藏在屏幕背面，但其天线线缆本应能暴露异常。 据 Karpelè 称，恶意硬件会捕获设备的显示输出和按键输入以识别助记词种子短语，然后通过 eSIM 使用 LTE 连接将其传输给攻击者。 "Ledger Nano X 用于存储加密货币。间谍植入装置就是用来窃取你存储在这些 Ledger Nano X 中的任何加密货币的，"Karpelè 解释道 (https://x.com/MagicalTux/status/2100131628815405511)。 虽然这位首席执行官没有点名 CryptoBilis 是被篡改 Ledger X 的供应商，但他说该设备并非通过 Ledger 推荐的渠道购买，而是来自"一个知名平台上的中国卖家（产品从马来西亚发货）"。 加密货币研发工作室 Tibane Labs 证实了 Karpelè 的发现，并补充说 Ledger X 存在两种植入版本。 研究人员获得了两个变体，一个来自在 Amazon Japan 上购买的 Ledger 设备，卖家为"中国卖家 · 从马来西亚发货"，另一个购买自 Yahoo! Auctions 日本站。 在周末发布的一份报告中，Tibane Labs 指出，威胁行为者通过将原装电池替换为更小的电池来为恶意电路腾出空间，该电池同时为植入装置和 Ledger X 供电。 "在电池和天线下方，有一颗 ST STM32G431KBU6（Arm Cortex-M4 内核，128 KB 闪存，UFQFPN-32 封装），"研究人员在一台设备内部发现了该芯片。 在连接方面，行为者使用了"一颗微型 eSIM，一个仅 2×2 mm 的 8 焊盘封装，位于 MCU 旁边，以及一个屏蔽的 LTE 模块用于发送信息。" 在分析的第二台硬件钱包中，Tibane 研究人员发现 (https://www.tibane.net/research/ledger-nano-x-implant)，MCU（微控制器单元）和 eSIM 上的标记均已被刮除，以隐藏零件编号。 第二个变体与 Karpelè 描述的似乎是同一款，更为先进。它使用原装电池供电，并恰好嵌入 OLED 显示屏下方通常由泡沫填充物占据的空间。 在两种情况下，暴露的线索都是天线线缆——在第二个植入装置中，天线沿设备顶部边缘走线；在第一个植入装置中，天线被粘贴在电池和屏蔽 LTE 模块的顶部。 研究人员警告称，上述样本使用的是"经过设计、拼板生产的柔性 PCB，即从 PCB 制板厂订购的那种，而非手工制作的单件品。" Ledger 建议用户避免从未经授权的经销商处购买设备，因为这样会增加买到假冒或改装设备的风险。 该公司也在提醒其授权经销商和分销商，仅通过授权渠道进货，并避免将退货产品重新上架。 Ledger 提供了"正品检查"（Genuine Check）机制来辨别设备的真伪；但该公司明确警告 (https://support.ledger.com/article/4404382029329-zd)，当设备的原始安全元件（Secure Element）完好无损时，该机制无法检测到被额外添加的植入装置。 目前，没有迹象表明其他 Ledger 经销商正在发货受影响的钱包；然而，社区对经销商网络的信任已经受到损害，许多人呼吁对其进行全面清理。 ## 为 AI 驱动的攻击构建您的安全蓝图 (https://hub.li/Q04x67m50) 加入 Mikko Hyppönen 以及来自 NFL、CHANEL 和 Atlassian 的安全负责人，参加两小时的线上峰会，探讨 AI 速度的攻击改变了什么、防御者应该停止做什么，以及如何以机器速度进行验证、决策、修复和重新验证。 立即预约席位 (https://hubs.li/Q04x67m50)