
Ledger 真品也能偷走助記詞:出廠後晶片植入,台灣買家必查通路風險
真品驗證通過,助記詞仍可能被偷 Ledger 硬體錢包即使通過真品驗證,也可能在設定時把助記詞傳給竊賊。依 Ledger 官方說明 ,攻擊者買下真品、拆開加裝自製元件,再放回經銷通路賣出。被攻擊的是裝置離開原廠控制後的流通環節,並非 Ledger 晶片、作業系統或伺服器遭破解。台灣不在停售名單內,但跨境購物不會替買家隔絕這種風險。 從買家失竊到跨市場停售 10 月 9 日,多名買家回報資產被盜,Ledger 要求東南亞經銷商 CryptoBilis 暫停銷售與出貨,事件公開;10 月 10 日,Ledger 確認一名受影響用戶的裝置含有未經授權的硬體植入物。10 月 13 日,停售與下架要求擴及印尼、新加坡、泰國、菲律賓、越南、馬來西亞及香港的經銷商與分銷商。同日,德國 MediaMarkt/Saturn 因一名當地客戶通報植入物而停止販售 Ledger,該案未傳出資金損失。事件進展可對照 CoinDesk 調查報導 與 Unchained 通路報導 。 10 月 15 日,Ledger 正式回應 將事件定調為高度組織化犯罪集團歷時數月、投入數百萬美元的攻擊。10 月 16 日,CoinDesk 引述 Chainalysis ,一名以假徵才「任務型詐騙」獲利的人,把不法所得放進三個 Ledger 錢包,也在 10 月 9 日被盜走 60 BTC、約 490 萬美元,三個地址各被清空約 164 萬美元。這是特定個案的鏈上分析,不能直接當成整起事件的總損失。 間諜元件如何「看螢幕」 依 CoinDesk 整理 Ledger Donjon 的拆解結果 ,植入物藏在機殼內、螢幕下方原本放緩衝墊的位置。元件內的微控制器接上傳送畫面資料的 SPI 匯流排;可以把 SPI 理解為裝置內部傳遞顯示訊號的線路。當設定流程逐一顯示 24 字助記詞,它就辨識、解碼畫面資料,把詞句蒐集起來。這裡的「看」是讀取螢幕訊號,不需要鏡頭拍照。 ...








