Ledger 東南亞經銷商出事 近 9,000 萬美元被盜 同店亦代理 CoolWallet

受影響地區：印尼、馬來西亞、菲律賓

硬件錢包製造商 Ledger 表示，至今所有確認的盜幣個案，涉及的裝置都由東南亞經銷商 CryptoBilis 售出。據 CoinDesk 報道，CryptoBilis 在印尼、馬來西亞及菲律賓經營門市及網店，事發後已應 Ledger 要求暫停所有硬件錢包的銷售及付運。

Ledger 強調，經官方網站及其他授權渠道購買的裝置未見受影響，公司內部系統亦沒有被入侵的跡象。

熒幕背後藏了一枚會上網的晶片

Ledger 的安全研究團隊 Donjon 周二（13 日）公布，涉事裝置外殼內被加裝了一個未經授權的電路。用戶首次設定錢包時，熒幕會顯示 24 個英文單詞組成的助記詞（recovery phrase，可還原整個錢包的密碼），植入裝置就在這一刻把助記詞從熒幕讀走，再經內置 eSIM 透過 LTE 流動網絡傳送出去。

Donjon 又指，植入裝置沒有改動 Ledger 的安全晶片（Secure Element）、作業系統、交易內容或簽署，所以官方的真偽檢查未必察覺得到。攻擊者拿到助記詞，就可以在另一部機上還原錢包，把資產轉走。

估計損失 8,600 萬至 9,300 萬美元

事件在 10 月 9 日曝光，有 CryptoBilis 顧客發現錢包被清空。Ledger 在 10 月 10 日確認，其中一名受害者的裝置內有未經授權的硬件植入物，這是供應鏈被動手腳的首個實證。

Ledger 至今未公布損失金額。據 CoinDesk 報道，多名區塊鏈研究人員估計，逾 300 個錢包合共損失 8,600 萬至 9,300 萬美元，涉及 Bitcoin、Ethereum 及 Tron 等多條區塊鏈。穩定幣發行商 Tether 已凍結與事件相關約 1,000 萬美元 USDT。

CryptoBilis 亦代理 CoolWallet 等品牌

CryptoBilis 不只代理 Ledger。其網站列出的產品包括台灣品牌 CoolWallet 的 CoolWallet Pro 及 CoolWallet S，另據 Gizmodo 報道，該公司同時是 Trezor、Tangem、OneKey、Ellipal 及 SafePal 的授權經銷商。

至今未有報道指 CoolWallet 或其他品牌的裝置被發現植入物。不過據報 Trezor 及 OneKey 已終止與 CryptoBilis 的合作。至於供應鏈如何被攻破，Binance 聯合創辦人 CZ在 X 上聲稱，攻擊者「看來是買下了該經銷商，再要他們簽保密協議閉嘴」，CoinDesk 指這說法未經獨立核實，CryptoBilis 亦未有回應。

Ledger 給用戶的建議

Ledger 籲經 CryptoBilis 購買裝置的用戶，未啟用的裝置不要啟用；已設定的，應在一部直接向 Ledger 購買的新裝置上建立新助記詞，再把資產轉過去。Ledger 又促受害者聯絡官方客服及向當地警方報案，在執法部門指示前不要自行拆開裝置。

Ledger 同時提醒，騙徒常趁這類事件冒充客服，公司絕不會致電、私訊或索取用戶的 24 個助記詞。翻查資料，今年 7 月另一品牌 Coldcard 的助記詞生成韌體亦出現漏洞，據研究人員估計，攻擊者藉此盜走 1 億至 1.3 億美元的 Bitcoin。

來源

• Ledger finds covert cellular implant stole hardware wallet recovery phrases from screens（CoinDesk）
• Ledger confirms hardware implant in CryptoBilis reseller units as MediaMarkt suspends sales in Europe（The Block）
• Ledger confirms spy chip implant behind wallet crypto thefts（BleepingComputer）