时间线
- 7.5
Karpelès 报告在另外两家经销商提供的设备中发现 Ledger 植入物
Karpelès 报告称，在另外两家经销商供货的 Ledger 硬件钱包设备中也发现了恶意植入物，使此前已被点名的经销商之外的供应链篡改范围进一步扩大。 如果篡改行为不止局限于单一分销渠道，那么通过第三方经销商（而非厂商直购）购买 Ledger 设备的用户都可能面临风险，因为植入物可在钱包初始化阶段窃取助记词。 此前的报道将植入物与东南亚经销商 CryptoBilis 分销的设备联系在一起，链上分析估计在助记词于初始化阶段被窃取后，约 9300 万美元从 311 个钱包中被转走。Karpelès 在此次安全危机受到广泛关注前数月，就已报告过植入物相关的警告。
- 7.5
诈骗者在被篡改的Ledger设备上损失480万美元：Asia Express
Ledger本周暂停了其在东南亚的经销商网络销售，此前窃贼通过供应链中被植入篡改的Ledger设备，从530个地址盗走超过1.034亿美元。Chainalysis报告称，其中一名受影响持有人本身就是从事“任务诈骗”的诈骗者，他购买的三台新Ledger内置记录助记词的间谍软件，导致其损失60枚比特币（约合480万美元）。 Ledger已要求印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚和香港的经销商下架其产品，这意味着在调查期间这些市场的买家将失去本地经销商渠道。Trezor也决定自1月1日起关闭部分偏远地区的经销商，称无法保证对这些渠道施加与本土市场同等水平的审查。 Ledger坚称迄今为止所有已确认的盗窃事件都发生在亚洲，尽管欧洲出现被篡改Ledger的报道促使电子产品零售商MediaMarkt暂停销售。该周报还提到，韩国金融情报分析院（FIU）批准屏蔽27家未注册交易所及其他虚拟资产服务商的网站，包括KuCoin、MEXC、Phemex和Bitrue；泰国证券交易委员会则敲定了允许比特币和以太坊ETF于周五开始交易的规则。
- 7.5
Ledger要求东南亚六国及香港经销商停售硬件钱包，调查设备遭篡改事件
Ledger 于周二表示，已要求印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚及香港的经销商暂停销售，并将相关硬件钱包撤下货架，以调查疑似遭篡改的设备。此次要求扩大了此前针对区域经销商 CryptoBilis 采取的停售及暂停发货措施，相关调查于 10 月 9 日公开。 此举使 Ledger 设备在东南亚及香港的零售货架上被撤下，并使硬件钱包供应链的完整性——自托管安全的核心前提——受到审视。在德国，MediaMarkt Saturn 已在 Ledger 同意下停止在门店和线上销售其设备，此前一名客户报告发现植入装置，不过未造成资金损失。 Ledger 的 Donjon 安全团队发现，该植入装置会在设备初始化过程中从屏幕上读取 24 个单词的助记词，并通过 LTE 外传；任何持有该助记词的人都可以恢复钱包并转走资金。链上调查者 Specter 追踪到超过 8600 万美元的疑似被盗资金，Ledger 表示该数字尚未经其核实。
- 8.5
Ledger在加密钱包中发现间谍植入组件后，Trezor削减其经销商网络
Trezor已通知其授权经销商网络的合作伙伴，其授权将于2027年1月1日终止，并且不会再向其发货。此举发生在竞争对手Ledger的Donjon安全团队确认东南亚经销商CryptoBilis销售的硬件钱包中被植入隐蔽间谍组件数日之后。Trezor表示“没有一丝证据”表明其自身设备遭到入侵，并称此次削减属于预防性措施。 Ledger的发现是一起已确认的供应链入侵事件，涉及广泛使用的硬件钱包中助记词（种子短语）的处理环节，而Trezor的决定表明该事件已开始改变钱包厂商管理第三方分销渠道的方式。 Ledger表示，CryptoBilis设备中的植入组件会读取屏幕内容，在助记词显示时将其解码，并通过eSIM经LTE网络向外发送，且不修改存储密钥的芯片或操作系统，因此被篡改的钱包外观和功能都正常。链上调查员Specter追踪到超过8600万美元的疑似被盗资金，但Ledger称该数字尚未得到其核实；Trezor未说明受影响经销商的数量，被终止授权的经销商可继续销售现有库存直至假日季结束。
- 8.0
Ledger 用户称在欧洲购买的硬件钱包中发现硬件植入装置
用户 @0xJohannes 表示，一台数周前从欧洲官方经销商处购买的 Ledger 硬件钱包内被发现含有未经授权的植入装置，设备内部存在正品 Ledger 硬件所不具备的可疑线路，显示其在售出前可能遭到物理篡改。该受影响设备中的资金尚未被盗取，目前亚洲和南美洲也出现了疑似案例报告。 这一报告提出一种可能：10 月 9 日首次披露的篡改事件或许并不限于 Ledger 所指的东南亚经销商 CryptoBilis，这对默认通过正常零售渠道购买的设备是真品的自托管用户构成直接担忧。据该用户描述，若原有安全元件保持完整，Ledger 的 Genuine Check 无法检测未经授权的物理改装。 Ledger 表示，其 10 月 9 日调查中所有已确认的资金被盗案例均与印度尼西亚、马来西亚和菲律宾的经销商 CryptoBilis 有关，该公司已停止销售硬件钱包。此次被发现的植入装置疑似为旧版本，新版本通常将组件隐藏在屏幕后方。
- 8.0
Ledger 称受影响用户的设备内含有硬件植入模块
Ledger 已确认一名受影响用户的设备内含有硬件植入模块；经销商 CryptoBilis 已在调查期间暂停其全部硬件钱包库存的销售（覆盖所有品牌），这比此前仅针对 Ledger 设备的暂停要求范围进一步扩大。 在经经销商售出的 Ledger 设备中确认存在植入模块，意味着这一被广泛使用的自托管产品遭遇供应链入侵，助记词与用户资金面临直接风险。Ledger 已建议过去 90 天内购买的用户不要设置设备；若已完成设置，可考虑将资产转移至新的签名设备。 区块链分析机构 Bitquery 称，此次事件从 6 条链上的 315 个钱包中转移了 9320 万美元。CryptoBilis 已暂停马来西亚、菲律宾和印尼所有门店及线上渠道的销售与发货，并关闭线下门店直至另行通知。公司记录显示，在 3 月被收购后，自 8 月 3 日起一名登记地址位于中国黑龙江省、名为 Jiaming 的人士持有该公司 100% 股份；但目前尚无确凿证据表明股权变更与钱包被盗事件存在关联。