加密貨幣硬體錢包業者 Ledger 日前要求印尼、新加坡、泰國、菲律賓、越南、馬來西亞與香港的經銷商暫停銷售並下架產品，原因是部分經銷商售出的裝置遭到改裝，內部被植入可竊取並外傳助記詞（seed phrase）的硬體。外媒報導，Ledger 於 10 月 9 日展開調查；目前已確認的資金損失，均與東南亞經銷商 CryptoBilis 售出的裝置有關。
Ledger 販售的硬體錢包，可用來安全保管私鑰，並管理及授權數位資產交易。
使用者回報資金失竊，Ledger 展開調查
Ledger 接獲多名使用者回報加密貨幣失竊後展開調查，確認 CryptoBilis 售出的部分裝置遭到竄改。旗下資安團隊 Donjon 日前公布更多調查細節，大致證實研究人員 Mark Karpelès 與 Tibane Labs 先前的說法。
延伸閱讀：硬體錢包業者 Ledger 證實東南亞經銷商出貨錢包遭植入硬體
植入物獨立運作，完整性自檢也無法偵測
Donjon 指出，植入物中的微控制器（microcontroller）會偵測並解碼用於設定或還原錢包的 24 字助記詞，再透過預先設定的 eSIM，經由 LTE 行動網路將助記詞外傳。
植入物是獨立元件，不會修改安全元件（Secure Element）或 Ledger 作業系統，也不會變更交易內容或簽章。因此，Ledger 裝置的完整性自檢（integrity self-check）無法偵測到這個植入物。
受影響通路擴大，Ledger 擴大停售範圍
Ledger 表示，目前確認的資金損失皆與 CryptoBilis 有關，但也有使用者通報在亞洲與歐洲的其他通路買到遭改裝的裝置。根據使用者在社群平台 X 上的貼文，有人是在新加坡機場的 Metapod 科技零售店購買，也有人是在歐洲通路商 MediaMarkt 購得。
MediaMarkt 販售的 Ledger 裝置由經銷商 Aqipa GmbH 供貨。接獲相關通報後，MediaMarkt 已將產品下架。
因此，Ledger 要求東南亞（印尼、新加坡、泰國、菲律賓、越南、馬來西亞）與香港的所有經銷商暫停銷售，直到裝置安全調查完成。Ledger 也表示，其基礎設施、系統、服務與直營銷售管道仍可安全使用。
Trezor 縮減經銷商規模，強化供應鏈把關
另一家大型硬體錢包廠商 Trezor 也宣布縮減經銷網路，以加強監督並防範供應鏈攻擊。Trezor 表示，供應鏈安全沒有終點，因此將提高合作夥伴的門檻，包括更新法律架構，並更嚴格查核裝置的來源、儲存與處理方式。
Trezor 表示，目前沒有證據顯示自家裝置遭到入侵，但仍決定採取預防措施。Trezor 在寄給受影響經銷商的信中指出，雙方合作將於 2027 年 1 月 1 日終止，屆時將撤銷這些經銷商的銷售授權。
本文轉載自 BleepingComputer。