總部位於巴黎的硬體錢包（hardware wallet）業者Ledger證實，經由東南亞經銷商CryptoBilis售出的部分裝置遭植入未經授權的硬體植入物（hardware implant），導致用戶的加密貨幣被轉走。Ledger自10月9日起調查用戶回報的資產損失，並表示目前所有已確認案例，皆涉及該經銷商售出的裝置。
經銷商停售，Ledger稱影響有限
Ledger於10月9日表示已展開調查，並要求在東南亞多國營運、總部位於馬來西亞的硬體錢包零售商CryptoBilis停止銷售與出貨Ledger裝置。Ledger隨後證實，一名受影響用戶的裝置內含未經授權的硬體植入物，並已與執法機關合作追查，同時聯繫受影響用戶。
10月11日，Ledger發布72小時更新，指出所有已確認案例均涉及經CryptoBilis售出的裝置，並形容受影響規模「有限」。Ledger也表示，自家系統與直營銷售通路並未遭到入侵。CryptoBilis已確認停止販售所有硬體錢包。
研究人員：竊密電路板藏在螢幕下方
Ledger尚未公布植入物的運作方式，也未說明受影響機型。目前最詳細的說明來自前Mt. Gox執行長Mark Karpelès，他現任Karpeles Lab Inc.負責人暨Shells.com技術長。Karpelès指出，他取得的Ledger Nano X並非來自Ledger建議的購買管道，貨品由馬來西亞出貨。
據Karpelès說明，一塊小型電路板藏在螢幕下方，原本放置顯示器襯墊的位置，板上有微控制器（MCU）、天線、LTE晶片與eSIM。這塊電路板會擷取裝置的螢幕顯示內容與按鍵操作，辨識出助記詞（seed phrase），再經由LTE連線傳給攻擊者。取得助記詞後，攻擊者可在任何裝置上重建錢包並轉走資產，不必接觸原本的硬體。
加密貨幣研發工作室Tibane Labs也分析了兩個樣本，分別購自日本亞馬遜與Yahoo!拍賣。第一種變體以較小的電池取代原廠電池，騰出空間容納植入物。第二種沿用原廠電池，塞進螢幕下方的襯墊位置，且微控制器與eSIM上的型號標示被刮除。報導未指出這兩個樣本與CryptoBilis的關聯。研究人員表示，兩種變體中，外露的天線線材都是可供識別的跡象。
原廠真品檢查無法驗出植入物
Ledger提供「真品檢查」（Genuine Check）機制，用來判斷裝置是否為原廠正品。但Ledger官方文件明確警告，只要原廠安全元件（Secure Element）完好，這項檢查就無法偵測後加的植入物。Karpelès表示，他的裝置以完整的收縮膜包裝送達，也通過真品檢查，因為內部的安全晶片是真的。他認為，要找出多出的電路板，唯一可靠的方法是拆開裝置。
Ledger建議用戶避免向未授權經銷商購買，以免買到仿冒或遭改裝的裝置，並提醒授權經銷商與代理商，僅能從授權管道進貨，且不得重新上架退貨商品。外媒報導指出，目前沒有跡象顯示其他Ledger經銷商出貨受影響裝置，但社群對經銷網路的信任已受衝擊，不少人呼籲瓦解現行的經銷網路。
Ledger對用戶的建議如下：
- 向CryptoBilis購買Ledger裝置且尚未初始化者：請勿開始設定。
- 已完成設定者：將資產移轉至新的Ledger裝置，並使用新的助記詞。
- 受影響用戶：透過官方管道聯繫Ledger客服，並向當地執法機關報案。
- 提防詐騙：Ledger不會來電、私訊或索取24字助記詞，請僅信任官方管道。
本文轉載自 BleepingComputer、HelpNetSecurity。