Ledger于10月13日确认，东南亚经销商CryptoBilis销售的加密货币硬件签名器中，存在未经授权的隐藏LTE植入物。该组件可截获用户在初始化时显示的24词恢复短语，并通过蜂窝网络传输。Ledger旗下Donjon安全团队在调查10月9日通报的加密货币损失后披露上述发现。
Ledger表示，10月10日在一名受影响客户的设备中确认了该植入物，并称在此次事件中所有经核实的资金损失均涉及通过CryptoBilis购买的产品。公司同时强调，尚未验证其他分销渠道购买的签名器存在同类资金流失事件。
植入物如何运作
据Ledger说明，未经授权的组件位于钱包外壳内部，并可监控设备屏幕显示的信息。在设置过程中，Ledger签名器会显示用于恢复加密货币资产访问权限的24词恢复短语。植入物内置微控制器，可读取设置期间显示的信息；当检测到恢复短语屏幕时，它会解码单词，并通过已配置eSIM的LTE连接向外传输。
Ledger称，该组件独立于签名器正常安全系统运行，不修改负责保护私钥的安全元件，也不改动Ledger操作系统、加密货币交易或数字签名。其主要功能是捕获钱包初始化期间显示的敏感信息。
CryptoBilis停售，调查持续
调查始于Ledger收到通过CryptoBilis购买设备的客户报告加密货币丢失。10月9日，Ledger开始审查投诉，并要求该经销商停止销售和发货其产品。10月10日，安全团队在一名受影响客户的设备中发现未经授权的植入物。CryptoBilis随后确认，在调查继续期间已停止销售Ledger签名器。
Ledger尚未确定未经授权组件如何进入受影响设备，也未确认负责安装的人员。目前尚无逮捕、刑事指控或已完成的执法行动公布。
区块链分析公司Bitquery在10月12日的分析中估计，与调查相关的疑似加密货币盗窃金额约为1.02亿美元，涉及324个钱包。该公司在审查受影响地址之间可能联系时追踪了比特币、以太坊及其他区块链网络上的资金流动。上述数据仍为独立估算。Ledger尚未确认Bitquery的损失计算、受影响客户数量，或研究人员识别的每一笔可疑交易是否均由该硬件植入物导致。
Ledger在10月13日表示：“我们尚未确认受影响用户总数或损失总价值。”公司提醒，网络流传数字来自第三方，尚未得到充分核实。
Ledger敦促CryptoBilis客户转移加密资产
针对通过CryptoBilis购买签名器的客户，Ledger发布了安全指引。尚未初始化设备者应避免设置，并在采取进一步行动前联系Ledger支持。已使用受影响设备的客户被要求尽快将加密货币转移到使用全新恢复短语初始化的新签名器。
Ledger特别警告，用户不要将现有恢复词导入或恢复到另一台从CryptoBilis购买的设备。该建议基于植入物可捕获设置期间显示的恢复短语这一发现。若用户将已暴露的恢复短语转移到另一台硬件钱包，相关凭据仍可能为攻击者所知。
丢失资金的客户被要求通过Ledger官方支持渠道报告，并联系当地执法机构。持有疑似被篡改设备的用户，在咨询Ledger支持或相关当局前，不应将硬件寄给任何人。Ledger表示，受害者应在打开签名器前与执法机构协调，尤其是在设备可能用于调查时。
Ledger重申，公司绝不会致电客户、发送未经请求的直接信息或索要恢复短语。此前有关于假冒Ledger网站试图窃取钱包恢复短语的独立报告，但目前尚未确认这些钓鱼活动与CryptoBilis硬件事件之间存在直接联系。
对于从其他渠道购买设备的客户，Ledger已通过支持网站提供检查指南。公司警告，打开签名器可能造成损坏，并建议用户在尝试检查前确保恢复短语已安全备份。
Donjon继续检查硬件
Ledger的Donjon研究团队正在继续对改装签名器进行技术检查。公司称，调查人员将在更多设备送达后进行分析，并在新发现得到验证后发布进一步信息。该团队专注于硬件和软件安全研究，包括针对加密货币签名设备的物理攻击。Ledger的研究文档描述了电路分析、组件检查以及保护私钥的安全机制测试等工作。
调查重点是该未经授权组件如何从设备显示屏捕获信息。Ledger在10月13日的发现指出了一个独立微控制器和蜂窝通信系统，并未确认安全元件或签名过程遭到修改。
Ledger已向可能掌握改装证据的研究人员及其他人士请求信息。相关发现可提交至公司公布的指定邮箱，受影响客户则被引导至Ledger支持渠道。公司表示，将继续审查涉及其他签名器型号和地理位置的报告，但尚未公布完成调查或发布最终报告的日期。