Ledger 證實了甚麼
硬件錢包廠商 Ledger 周六（10 日）證實，一名受影響用戶的裝置內藏有「未經授權的硬件植入物」。據 Bitcoin.com News 報道，這項發現令外界更相信，近日一連串錢包被掏空的事件，源自東南亞經銷商 CryptoBilis 售出的錢包遭人動過手腳。
Ledger 表示正聯絡受影響用戶，並與有關當局合作調查。CryptoBilis 則已暫停銷售所有硬件錢包，直至調查完成。
The Crypto Times 指出，Ledger 目前只確認了一部裝置有植入物，這並不代表所有損失都由它造成。受影響裝置的數目，以及植入物與資金被盜之間的關係，仍在調查之中。
植入物怎樣偷走資金
據 The Verge 報道，植入物是一塊夾在屏幕下方的小型電路板，疑似攔截屏幕上顯示的所有內容，包括初次設定時出現的助記詞。報道指，它再透過內置的 SIM 卡把資料傳給攻擊者，對方便可以轉走用戶的資金。
助記詞是硬件錢包的最後一道防線。硬件錢包的設計原意，是讓私鑰永遠不離開裝置，但只要有人取得助記詞，就可以在任何地方重建整個錢包。
The Crypto Times 報道，事件最初引起關注，是因為前 Mt. Gox 行政總裁 Mark Karpelès 公開了一部 Ledger 裝置內可疑晶片的照片。社交平台上其後出現更多拆機照片和影片。
損失有多大
外界估計的損失介乎 8,600 萬至 9,340 萬美元，Ledger 未有核實任何一個數字。The Verge 引述的報告指，攻擊者從數百個錢包盜走逾 8,600 萬美元的加密貨幣。Bitcoin.com News 則引述分析機構 Yfarmx 的估算，指疑似損失接近 9,340 萬美元。
受影響的主要是東南亞用戶。The Verge 指，沒有跡象顯示 Ledger 本身的系統被入侵，直接向 Ledger 購買的錢包亦沒有受影響。換言之，問題出在供應鏈，而不是錢包的軟件或晶片設計。
用戶現在應該怎樣做
Ledger 已發出指引，把用戶分為尚未啟用和已經設定裝置兩類。據 The Crypto Times 報道，過去 90 日內經 CryptoBilis 購買、仍未設定的用戶，應該停止設定裝置。
已經啟用的用戶則要盡快轉移資金，並重新產生助記詞。Ledger 亦提供了檢查錢包有否被改裝的方法。
意味著甚麼
這宗事件動搖了硬件錢包最核心的賣點。用戶買硬件錢包，是因為相信離線保存私鑰比交易所安全，但如果裝置在送到手上之前已被改裝，這個前提就不成立。
對一般持幣者而言，教訓是購買渠道與錢包本身同樣重要。即使是官方授權的經銷商，中間多一重轉手，就多一個可以被動手腳的環節。
調查仍在進行。接下來要看 Ledger 會否公布受影響裝置的數量和批次，以及 CryptoBilis 能否交代這批錢包在哪一個環節被人改裝。
No comments yet
提交留言即表示你已閱讀我們的私隱政策。