加密货币钱包遭恶意植入攻击：恢复短语被窃取，损失恐超8600万美元
法国硬件钱包制造商Ledger近日披露，其通过经销商CryptoBilis销售的钱包中发现了恶意植入物。这些植入物能够捕获用户设备屏幕上显示的助记词（即恢复短语），并通过蜂窝网络将数据传输出去。
Ledger的安全研究团队“Ledger Donjon”在周二发布的X平台帖子中指出，该植入物利用微控制器解码了用户在设置过程中显示的24个单词的助记词，并通过嵌入式SIM卡（eSIM）经由LTE网络传输数据。Ledger强调，这些植入物并未攻破设备的安全芯片，也未篡改交易记录。
此次事件于周五曝光，当时有报道称涉及通过CryptoBilis购买的Ledger设备的加密资产发生损失。CryptoBilis是印尼、马来西亚和菲律宾列出的授权经销商之一。周六，Ledger确认一台受影响设备中确实存在未经授权的植入物。
据区块链调查员Specter估计，潜在损失可能超过8600万美元；网络安全媒体Yfarmx则将这一估算值提高至1.03亿美元。目前，Ledger尚未确认最终总损失金额。Ledger表示，其已售出超过800万台硬件钱包，这类设备旨在将用户的私钥离线存储，并允许用户在设备端批准交易。
深入调查：超越CryptoBilis的销售渠道
Ledger呼吁怀疑设备被篡改的用户联系其支持团队并报警。对于在其他渠道购买设备的担忧客户，Ledger提供了一份检查指南，警告用户自行打开设备可能会造成损坏，并建议用户首先备份好恢复短语。
尽管目前已确认的损失均涉及由CryptoBilis销售的设备，但Ledger表示正在审查超出该经销商范围的其他报告。与此同时，X平台用户Johannes发布了照片，称他在欧洲消费电子连锁超市MediaMarkt的两家不同门店购买了Ledger设备，并在两台设备中均发现了植入物。截至目前，Ledger尚未证实这些欧洲地区的报告是否与CryptoBilis事件有关联。
行业反应：CryptoBilis停售所有钱包品牌，Trezor与OneKey切断合作
CryptoBilis在周六的X平台帖子中表示，已暂停在马来西亚、菲律宾和印度尼西亚销售及发货所有品牌的硬件钱包，此举扩大了此前仅针对Ledger产品的禁令。该经销商还暂时关闭了其实体门店，并表示正在与独立专家一起审查其业务流程。
Trezor于周一声明，未收到通过CryptoBilis销售的Trezor设备被篡改的报告，也未发现其产品受到影响。尽管如此，Trezo仍将其从授权经销商网络中移除。
OneKey也报告称没有相关的用户损失，但终止了对CryptoBilis的经销商授权。同时，OneKey暂停了新经销商的入驻流程，并开始审查其现有的分销网络。该公司为2023年3月1日至2026年10月12日期间从CryptoBilis购买OneKey设备的客户提供免费更换服务，客户申请截止日期为12月31日。
