Ledger披露部分硬件钱包被加装模块读取助记词

Ledger于本周二在X平台发布调查进展说明，披露了一起涉及硬件钱包的供应链环节事件。该公司称，部分由东南亚经销商CryptoBilis销售的Ledger签名设备内部被发现存在非授权加装模块，该模块可在用户初始化设备的过程中读取屏幕上显示的24个单词助记词，并借助eSIM通过LTE移动网络将内容外传。

模块的运作方式与设备状态

Ledger说明，该模块被安置在设备外壳内部。当用户设置签名设备、屏幕显示助记词时，模块内的微控制器可以识别并解析这些单词，随后通过LTE进行传输。助记词相当于加密钱包的主密钥，持有者据此可在其他设备上重建同一钱包并调动其中资产，而无需接触原设备或改动其上的交易。

公司同时表示，该模块并未改动设备的安全元件，即用于保护私钥的芯片，也未改动设备操作系统，同时没有修改交易内容或签名数据。Ledger将其归类为实体供应链环节的加装行为，而非其软件或内部系统被侵入。

核查进展与链上数据

Ledger称已确认至少一台受影响的签名设备内含非授权模块，并且在10月9日事件中已确认的损失均涉及由CryptoBilis售出的设备。公司表示，尚未核实涉及其他渠道所购设备的类似情形，目前正在排查其他设备与地区出现的相关报告。

Ledger未公布受影响用户总数与涉及金额。链上研究人员估算，超过300个钱包的损失合计最高约9320万美元；Tether已冻结与本次事件相关的1000万美元USDT。上述链上数据来自第三方研究机构的统计，与Ledger官方公布的口径存在差异。

经销商状态与用户操作建议

据Ledger说明，CryptoBilis已停止销售Ledger签名设备。对于从该经销商处购买设备的用户，公司建议不要进行初始化操作；若已经使用过相关设备，则可将资产转移至新设备，并使用新生成的助记词。

信息来源：CoinDesk