10 月 9 号，币圈最信任的保险箱被撬了。Ledger 的加密体系完好无损，也没有人点钓鱼链接，问题出在更早的一环。有人在设备到你手里之前，就把你的助记词看光了。
先说这次的事。10 月 9 日，链上侦探 Specter 发现 X 和 Reddit 上密集出现 Ledger 用户被盗的报告。顺着链上痕迹一查，300 多个钱包在比特币、以太坊、波场等多条链上被归集清空，第三方研究人员估计损失在 8600 万到 9300 万美元。Ledger 随后两次发声明确认，所有已核实的案例，设备都来自同一家东南亚经销商 CryptoBilis，而且在一台受影响的设备里，真的找到了未经授权的硬件植入物。
这个植入物是怎么干活的，Mt.Gox 前 CEO Mark Karpelès 拆开一台包装完好的设备，看了个明白。屏幕衬垫下面藏着一个小模块，一枚接在屏幕 SPI 数据线上的微控制器，一块带 eSIM 的 LTE 模块，再加一根天线。你开机生成助记词，屏幕上一个个单词显示出来等你抄写，这个模块就趴在屏幕数据线上同步偷听，把 24 个词完整记下来，再通过移动网络发给攻击者。之后的事就简单了，攻击者拿着助记词直接清空钱包。
最扎心的是，Ledger 的正品校验能过。安全元件是真的，助记词是真的，签名也是真的。安全元件能保证私钥不被导出，但它管不着有人对着屏幕拍照。私钥从没离开过设备，助记词却在显示的那几秒里被抄走了。
更让人后背发凉的是，这套东西已经迭代了三代。最早的一代还是手工飞线，电池都得换小一号。到了第二代，换成柔性电路板。最新的第三代最吓人，打开机壳，原装电池原装主板全都在，只在机壳顶部边缘多了一条细细的黑色天线。这不是个人手工活，是一条有研发、有迭代、有组织能力的供应链攻击链。
这事对咱们散户意味着什么，我掰开说三点。第一，硬件钱包只从官网买。经销商哪怕看起来再正规、便宜那几十块，都别碰，这次出事的全是经销商渠道，官网直售一台没中招。第二，收到货别急着用，看看包装封条、掂一掂重量、检查机身有没有异物，觉得不对劲直接联系官方。老实说，第三代那条天线藏得深，靠手感未必查得出来，所以最稳的还是第一条，只从官网买。Ledger 这次的指引是，没启用的设备别初始化，已经在用的换一套新助记词。第三，Ledger 永远不会打电话、私信找你要 24 个词，谁要谁就是骗子。这波事件之后，冒充官方客服的钓鱼肯定会跟上来。
还有个黑色幽默的后续。Chainalysis 10 月 16 日披露，有个搞任务诈骗的骗子，骗来的钱就存在这种被植入的 Ledger 里，结果被攻击者一把掏走 60 个比特币，差不多 490 万美元。骗子被骗子偷了，链上可没有什么豁免权。
我的观点就一句，硬件钱包防得住黑客，防不住你贪便宜，买钱包这事上省的每一分钱，都是在拿全部家当冒险。
你的硬件钱包是从哪儿买的，官网还是经销商？评论区说说，我看看有多少人和我一样以前图方便走过第三方。
#硬件钱包 #Ledger #防骗 #供应链攻击
—— web3韭菜小凯
免责声明：本文仅为个人学习分享，不构成任何投资建议。市场有风险，入市需谨慎。
先说这次的事。10 月 9 日，链上侦探 Specter 发现 X 和 Reddit 上密集出现 Ledger 用户被盗的报告。顺着链上痕迹一查，300 多个钱包在比特币、以太坊、波场等多条链上被归集清空，第三方研究人员估计损失在 8600 万到 9300 万美元。Ledger 随后两次发声明确认，所有已核实的案例，设备都来自同一家东南亚经销商 CryptoBilis，而且在一台受影响的设备里，真的找到了未经授权的硬件植入物。
这个植入物是怎么干活的，Mt.Gox 前 CEO Mark Karpelès 拆开一台包装完好的设备，看了个明白。屏幕衬垫下面藏着一个小模块，一枚接在屏幕 SPI 数据线上的微控制器，一块带 eSIM 的 LTE 模块，再加一根天线。你开机生成助记词，屏幕上一个个单词显示出来等你抄写，这个模块就趴在屏幕数据线上同步偷听，把 24 个词完整记下来，再通过移动网络发给攻击者。之后的事就简单了，攻击者拿着助记词直接清空钱包。
最扎心的是，Ledger 的正品校验能过。安全元件是真的，助记词是真的，签名也是真的。安全元件能保证私钥不被导出，但它管不着有人对着屏幕拍照。私钥从没离开过设备，助记词却在显示的那几秒里被抄走了。
更让人后背发凉的是，这套东西已经迭代了三代。最早的一代还是手工飞线，电池都得换小一号。到了第二代，换成柔性电路板。最新的第三代最吓人，打开机壳，原装电池原装主板全都在，只在机壳顶部边缘多了一条细细的黑色天线。这不是个人手工活，是一条有研发、有迭代、有组织能力的供应链攻击链。
这事对咱们散户意味着什么，我掰开说三点。第一，硬件钱包只从官网买。经销商哪怕看起来再正规、便宜那几十块，都别碰，这次出事的全是经销商渠道，官网直售一台没中招。第二，收到货别急着用，看看包装封条、掂一掂重量、检查机身有没有异物，觉得不对劲直接联系官方。老实说，第三代那条天线藏得深，靠手感未必查得出来，所以最稳的还是第一条，只从官网买。Ledger 这次的指引是，没启用的设备别初始化，已经在用的换一套新助记词。第三，Ledger 永远不会打电话、私信找你要 24 个词，谁要谁就是骗子。这波事件之后，冒充官方客服的钓鱼肯定会跟上来。
还有个黑色幽默的后续。Chainalysis 10 月 16 日披露，有个搞任务诈骗的骗子，骗来的钱就存在这种被植入的 Ledger 里，结果被攻击者一把掏走 60 个比特币，差不多 490 万美元。骗子被骗子偷了，链上可没有什么豁免权。
我的观点就一句，硬件钱包防得住黑客，防不住你贪便宜，买钱包这事上省的每一分钱，都是在拿全部家当冒险。
你的硬件钱包是从哪儿买的，官网还是经销商？评论区说说，我看看有多少人和我一样以前图方便走过第三方。
#硬件钱包 #Ledger #防骗 #供应链攻击
—— web3韭菜小凯
免责声明：本文仅为个人学习分享，不构成任何投资建议。市场有风险，入市需谨慎。