Ledger 於 2026 年 10 月 15 日宣布，針對其授權零售商推出新的安全要求。此前，攻擊者在正品加密貨幣錢包中安裝了隱藏電子元件，竊取用戶的恢復短語並獲取其資金。
Ledger 表示，在犯罪分子篡改正品硬件錢包以盜取加密貨幣後，公司已收紧轉售商規則。
- 隱藏植入物會在設備設定過程中捕獲錢包恢復短語，並透過蜂窩網路傳輸敏感資訊。
- Ledger 在調查受影響設備期間，暫停了東南亞和香港的授權轉售銷售。
- 安全團隊檢查了零售和倉庫設備，稱其抽樣檢測中未發現受影響設備。
- Ledger 已要求零售商停止展示錢包，並禁止無例外地轉售退回設備。
這家硬體錢包製造商證實，攻擊者購買了合法設備，進行改裝後，再透過東南亞的分銷渠道重新流入市場。Ledger 已暫停該地區的轉售銷售，檢查了來自零售店鋪和倉庫的設備，並開始與執法部門合作追查被盜資金。
公司表示，其內部系統、操作軟體和安全晶片均未遭入侵。調查人員仍在繼續確認此次攻擊的完整範圍，包括這些被篡改的設備是如何進入市場的。
Ledger 錢包攻擊涉及隱藏的恢復短語植入件
Ledger 的調查發現，攻擊者為這次行動準備了數月。他們購買了正品硬體錢包，拆開設備，並插入定制電子元件，用於在設置過程中捕獲恢復短語。
恢復短語通常包含 24 個單詞，用戶可藉此恢復對加密貨幣錢包的訪問。任何獲得這些單詞的人，都可能在另一台設備上重新建立該錢包並轉移其資產。
攻擊者利用恢復短語出現在設備螢幕上的那一刻。隱藏元件收集這些單詞，並將其傳輸至由犯罪分子控制的基礎設施。
在 10 月 13 日的技術更新中，Ledger 的 Donjon 安全團隊解釋稱，該植入件使用微控制器讀取短語，並通過嵌入式 SIM 卡經 LTE 蜂窩連接傳輸資訊。
公司表示，該植入件獨立於保護敏感加密資訊的 Secure Element 運行。調查人員沒有發現惡意組件修改作業系統或更改交易簽名的證據。
此前針對 Ledger 錢包中隱藏晶片的調查曾記錄，未經授權的電子元件如何在不改變設備正常簽名功能的情況下暴露恢復短語。
Ledger 最新聲明將此描述為一場有組織的犯罪行動，涉及設備採購、分銷安排以及用於收集被盜錢包憑證的基礎設施。
該製造商稱，該團伙為這次攻擊花費了數百萬美元，但未提供財務拆分，也未指認相關人員。
據報導，攻擊者利用收集到的恢復短語，在 10 月 9 日的一次協同盜竊行動中訪問了多個錢包。
儘管獨立區塊鏈調查人員估計損失超過 8600 萬美元，Ledger 尚未核實被盗總額或受影響客戶數量。
Ledger 暫停東南亞地區的錢包銷售
在發現問題後，Ledger 要求東南亞及香港的授權經銷商和分銷商暫停設備銷售，直至調查人員檢查受影響的分銷渠道。
受限地區包括印度尼西亞、新加坡、泰國、菲律賓、越南、馬來西亞和香港。
東南亞的轉售商 CryptoBilis 曾被牽涉於已確認的設備篡改案例。
在有客戶報告資金損失後，該公司曾暫停硬件錢包銷售。
此前關於 CryptoBilis 錢包調查的報導記錄了 Ledger 對未經授權植入件的發現及其對客戶投訴的初步回應。
在收到涉及其他地點的報告後，Ledger 隨後將預防措施擴大到該轉售商之外。
在德國，MediaMarkt Saturn 在一名客戶的設備被報告存在植入件後，停止通過實體門店和線上平台銷售 Ledger 設備。
Ledger 表示，德國案例並未導致任何已確認的客戶資金損失。
此事件導致德國的 Ledger 錢包銷售也被單獨暫停，公司同時對設備進行審查並調查相關情況。
在 10 月 15 日的更新中，Ledger 表示，調查人員已從不同市場的門店購買設備，包括德國，並拆開進行實物檢查。
公司還檢查了庫存樣本，並篩查了其自有庫存的一部分。
Ledger 表示，在這些檢查中抽樣的樣本未發現未經授權的組件。
然而，公司未披露檢查了多少台設備，因此潛在受影響產品的總數仍未確認。
Ledger 將此次事件描述為“局部分發攻擊”，並堅持認為其製造系統並非此次受損的原因。
調查尚未精確確定每一台受影響設備究竟是在何處被改裝。
Ledger 為硬件錢包零售商推出新規則
作為應對措施的一部分，Ledger 已要求授權零售商改變硬體錢包的存放和銷售方式。
零售商必須停止將 Ledger 設備擺放在展示架和櫃台上。相反，他們必須將產品存放在倉儲區域，並僅在發生購買時再交給客戶。
公司表示，這些要求已立即生效，旨在減少未經授權接觸設備的機會。
Ledger 也提醒授權銷售商，退回的設備絕不可再次出售，即使包裝看起來未開封或產品看起來未使用過。
這項規則原本已存在，但 Ledger 已要求分銷商無一例外地執行。
零售商必須在客戶報告異常產品或可疑硬體時，及時通知製造商。
隨著調查繼續，公司正在加強對授權分銷網絡的監督。
Ledger 表示，其安全團隊進行了公司歷史上規模最大的內部調查，動用了多個部門。
來自 Ledger Donjon 的專家拆解了回收的植入件，並檢查其運作方式，以確定攻擊者如何收集恢復短語。
製造商在調查期間與安全研究人員和行業合作夥伴合作，其中包括 SEAL_911。
Ledger 表示，團隊正與執法部門合作追蹤被盜資金，並識別用於收集錢包憑證的基礎設施。
公司未披露相關逮捕、正式刑事指控或資金追回的情況。
Ledger 表示，待調查人員能夠安全披露結果時，公司計劃發布更多技術資訊。
Ledger 計劃進一步防護錢包篡改
除了眼前的零售限制外，Ledger 還在開發額外的產品安全措施，旨在讓物理篡改更難發生。
公司尚未提供技術規格、受影響產品型號或推出這些防護措施的時間表。
Ledger 表示，將與其他硬件錢包製造商和銷售商分享調查結果，以便他們審視自家產品中的類似風險。
該製造商此前曾警告通過 CryptoBilis 購買設備的客戶，在聯繫官方支援前不要初始化設備。
對於已經使用過可能受影響錢包的客戶，公司建議將其加密貨幣轉移到一臺可信設備上，並生成新的恢復短語。
如果攻擊者已經取得舊的恢復短語，那麼在替換設備上恢復舊短語並不能保障資金安全。
Ledger 的安全指引提醒用戶，切勿向任何聲稱代表客服的人透露恢復短語。
公司強調，其員工不會透過訊息、電話或網站索要恢復詞。
在 10 月 15 日的公告中，Ledger 承認調查仍在進行，且仍有進一步的安全工作要完成。
製造商重申，一旦調查允許披露，將發布有關此次攻擊及犯罪分子所用方法的更多細節。