导语：Ledger 于 2026 年 10 月 15 日推出针对授权零售商的新安全要求。此前，攻击者通过改装正版加密货币硬件钱包，窃取用户恢复短语并访问其资金。
篡改设备如何窃取助记词
Ledger 调查发现，攻击者花费数月准备行动。他们购买正版硬件钱包，打开设备并植入定制电子元件，用于在设置过程中捕获恢复短语。恢复短语通常包含 24 个单词，可用于在新设备上恢复加密钱包；任何获得这些单词的人都可能重建钱包并转移资产。
据 Ledger Donjon 安全团队称，植入装置使用微控制器读取助记词，并通过嵌入式 SIM 卡经 LTE 蜂窝连接传输信息。该植入物独立于保护敏感加密信息的 Secure Element 运行。调查人员未发现恶意组件修改操作系统或更改交易签名的证据。
攻击规模与损失估算
Ledger 将此次行动描述为有组织攻击，并称该组织花费数百万美元准备，但未提供财务细节或指认责任人。据报道，攻击者在 10 月 9 日的协调盗窃行动中使用收集到的恢复短语访问多个钱包。独立区块链调查人员估计损失超过 8600 万美元，但 Ledger 尚未核实被盗总额或受影响客户数量。
东南亚与香港暂停销售
Ledger 要求东南亚和香港的授权经销商及分销商暂停设备销售，以便调查人员检查受影响的销售渠道。限制范围覆盖印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚和香港。东南亚经销商 CryptoBilis 此前被与已确认的改装设备案件关联，并在客户报告资金损失后暂停硬件钱包销售。相关预防措施后来扩大到该经销商之外。
在德国，MediaMarkt Saturn 在客户设备被报告植入装置后，停止通过实体店和线上平台销售 Ledger 设备。Ledger 表示，德国案件尚未导致确认的客户资金损失。公司称调查人员从德国等不同市场商店购买设备，并检查仓库和自有库存样本。Ledger 称未在检查样本中发现未授权组件，但未披露检查了多少台设备。
零售商新规
Ledger 命令授权零售商改变硬件钱包的存储和销售方式。零售商必须停止将 Ledger 设备放在展示架和柜台上，应将其保存在存储区域，并仅在购买时交给客户。公司称这些措施旨在减少未经授权接触产品的机会。
零售商还被提醒，退回设备绝不能再次销售，即使包装看似未开封或产品看起来未使用。该规则早已存在，但 Ledger 要求分销商无例外遵守。当客户报告异常产品或潜在可疑硬件时，零售商必须立即通知制造商。
调查继续，Ledger 计划更多保护
Ledger 表示，其安全团队进行了公司历史上最大规模内部调查，并动员多个部门。Ledger Donjon 专家拆解了回收的植入装置并检查其运作。制造商与包括 SEAL_911 在内的安全研究人员和行业伙伴合作，并与执法部门合作追踪被盗资金和识别用于收集钱包凭证的基础设施。Ledger 尚未披露逮捕、正式刑事指控或追回资金。
公司坚持其内部系统、操作系统和安全芯片未受损害，并称该事件为局部分销攻击。它还表示正在开发额外产品安全措施，使物理篡改更难，但未提供技术规格、受影响产品型号或时间表。Ledger 计划与其他硬件钱包制造商和销售商分享调查结果。
通过 CryptoBilis 购买设备的客户被警告，在联系官方支持前不要初始化设备。已使用可能受影响钱包的用户被建议将加密货币转移到可信设备，并使用新生成的恢复短语。如果攻击者已经获得旧恢复短语，在替换设备上恢复旧短语无法保护资金。Ledger 还警告用户，绝不要向任何声称代表客户支持的人透露恢复短语，并强调其员工不会通过消息、电话或网站索取助记词。Ledger 表示，将在调查人员能够安全发布结果时公布更多技术信息。