这次出问题的不是 Ledger 的服务器,而是设备在送到用户手里之前就被人动过手脚。
10 月 9 日对外披露的调查显示,一名通过东南亚经销商 CryptoBilis 购买 Ledger 的用户报告资产被盗,独立调查人员估计涉及金额可能超过 9300 万美元。拆机后发现,至少有一台设备里被植入了未经授权的硬件模块:它能在设备初始化、屏幕显示那串 24 词恢复短语的瞬间把内容读走,再通过 LTE(eSIM)模块直接发给攻击者。10 月 13 日,Ledger 在 X 上要求印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚及中国香港七个市场的经销商暂停销售并下架产品,范围比此前只点名一家经销商时明显扩大。
为什么这件事值得深想?因为硬件钱包的整套信任模型建立在“私钥不出芯片”这个假设上。而这次被绕开的不是密码学,是供应链:从屏幕到安全芯片之间,被插进一块第三方硬件。固件签名、开源验证都拦不住它——因为它物理上就在那里,还伪装成出厂状态。Ledger 强调自身基础设施、系统与直销渠道没有被入侵,问题只出现在指定地区的第三方转售环节,并且尚未核实到其他地区购机者被盗的案例。
我的判断是:硬件钱包的安全边界从来不在芯片里,而在“你到底从哪里拿到它”这一步。冷钱包把攻击面从线上搬到了物流和零售货架,而这一层恰恰是最难审计的——毕竟一个人全部的 $BTC 和主流资产,常常就躺在那一块巴掌大的金属壳里。接下来要看两件事:篡改发生在分销链的哪一环、由谁完成;以及 Ledger Donjon 对回收设备的分析会不会牵出更多批次。
所以问题最终回到每个持币人自己身上:你愿意为省几十块、快点到手去走本地经销商,还是宁可等官网直邮、自己逐项核对防拆封装?
#Ledger要求东南亚及香港经销商暂停销售
10 月 9 日对外披露的调查显示,一名通过东南亚经销商 CryptoBilis 购买 Ledger 的用户报告资产被盗,独立调查人员估计涉及金额可能超过 9300 万美元。拆机后发现,至少有一台设备里被植入了未经授权的硬件模块:它能在设备初始化、屏幕显示那串 24 词恢复短语的瞬间把内容读走,再通过 LTE(eSIM)模块直接发给攻击者。10 月 13 日,Ledger 在 X 上要求印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚及中国香港七个市场的经销商暂停销售并下架产品,范围比此前只点名一家经销商时明显扩大。
为什么这件事值得深想?因为硬件钱包的整套信任模型建立在“私钥不出芯片”这个假设上。而这次被绕开的不是密码学,是供应链:从屏幕到安全芯片之间,被插进一块第三方硬件。固件签名、开源验证都拦不住它——因为它物理上就在那里,还伪装成出厂状态。Ledger 强调自身基础设施、系统与直销渠道没有被入侵,问题只出现在指定地区的第三方转售环节,并且尚未核实到其他地区购机者被盗的案例。
我的判断是:硬件钱包的安全边界从来不在芯片里,而在“你到底从哪里拿到它”这一步。冷钱包把攻击面从线上搬到了物流和零售货架,而这一层恰恰是最难审计的——毕竟一个人全部的 $BTC 和主流资产,常常就躺在那一块巴掌大的金属壳里。接下来要看两件事:篡改发生在分销链的哪一环、由谁完成;以及 Ledger Donjon 对回收设备的分析会不会牵出更多批次。
所以问题最终回到每个持币人自己身上:你愿意为省几十块、快点到手去走本地经销商,还是宁可等官网直邮、自己逐项核对防拆封装?
#Ledger要求东南亚及香港经销商暂停销售
