Ledger供应链植入调查：风险集中在CryptoBilis渠道

Ledger安全团队在10月13日更新的调查结果显示，部分通过东南亚经销商CryptoBilis售出的硬件钱包存在未授权硬件植入。植入物被隐藏在外壳内，能够读取设备屏幕显示内容。当用户进行初始化时，该模块可捕获24个助记词，并借助内置微控制器和eSIM，通过LTE网络将信息传出。

植入物如何工作，又为何更隐蔽

根据Ledger披露，涉事组件独立运行，没有修改Secure Element，也没有改动Ledger操作系统，更不会干预交易签名流程。因此，设备表面仍可能保持正常操作体验，但用户输入或显示的敏感信息已被旁路采集。这种设计把风险从软件层延伸到物理供应链，对普通用户来说更难察觉。

损失范围与官方建议

截至目前，10月9日披露的资金被盗事件中，已确认损失均与CryptoBilis渠道设备有关，其他销售渠道暂未核实相关案例。CryptoBilis已暂停销售Ledger产品，调查仍在继续。Ledger尚未确认受影响用户总数及损失金额，网传数字未经官方核实。

购买或使用过CryptoBilis设备的用户应如何处理

  • 未初始化设备：不要设置，不要展示或记录助记词，暂停使用。
  • 已初始化设备：立即将资产转移至全新设备，并生成全新助记词。
  • 切勿在涉事设备上恢复助记词，避免再次暴露。
  • 通过Ledger官方支持渠道联系，并向当地执法部门报案。

后续购买建议

Ledger强调，官方渠道与直接销售产品未受影响。用户应仅通过授权渠道购买硬件钱包，并对任何索取助记词、私钥或要求展示恢复短语的行为保持警惕。