加密硬件钱包Ledger遭黑客攻击 黑客改装硬件窃取助记词 已窃取超过8,000万美元
内容提要
法国硬件钱包Ledger遭供应链攻击，黑客于3月秘密收购东南亚经销商CryptoBilis并要求保密，在钱包屏幕下加装含微控制器、天线和eSIM的电路板，通过SPI链路窃取助记词并远程盗币，已造成至少8000万美元损失。事件因Mt.Gox前负责人拆解发现而曝光，黑客身份疑为朝鲜。
延伸解读
供应链攻击的隐蔽性
此次事件中，黑客通过秘密收购授权经销商CryptoBilis，在设备流通环节植入改装硬件，而非直接攻击Ledger的固件或服务器。这种供应链攻击难以被终端用户察觉，因为外包装热缩膜完好，设备外观正常。它提醒消费者，硬件钱包的安全不仅取决于设备本身，还取决于购买渠道和供应链的完整性。
助记词泄露的致命后果
助记词是恢复加密货币资产的唯一凭证。一旦泄露，攻击者无需接触设备即可在其他兼容钱包中恢复并盗走资产。本案中，黑客通过SPI链路监听屏幕显示内容，结合字体识别重建助记词，再经蜂窝网络回传。这意味着即使设备未联网，助记词也可能在初始化时被窃取，用户应警惕非官方渠道购买的设备。
事件暴露与后续风险
事件因Mt.Gox前负责人马克·卡佩莱斯拆解设备而曝光，黑客随即提前盗取已收集的资产，造成至少8000万美元损失。这表明攻击者可能已潜伏数月，且仍有未发现的受影响设备。随着时间推移，更多用户可能发现资产被盗。用户应尽快检查设备来源，并考虑将资产转移至新钱包。
身份猜测与调查进展
行业猜测黑客可能来自朝鲜，因其具备大规模定制微电路板和微控制器的能力，但尚未确认。调查仍在进行中。这一猜测反映了供应链攻击的复杂性和国家背景行为者的潜在参与。在官方结论出台前，用户应关注Ledger的官方公告，并采取预防措施，如从官方渠道购买设备。
Q&A
Ledger硬件钱包是怎么被黑客攻击的？
黑客秘密收购了Ledger在东南亚的授权经销商CryptoBilis，然后在原版Ledger屏幕下加装定制微电路板，该电路板包含微控制器、天线和eSIM模块，通过SPI链路监控并窃取用户初始化时显示的助记词，进而远程盗取资产。
黑客改装后的Ledger钱包里加了什么装置？
在屏幕下方加装了一块定制微电路板，上面有微控制器、LTE通信模块、天线和eSIM等组件，通过内部线路连接到显示相关的SPI通信链路。
这次Ledger攻击事件造成了多少损失？
目前行业统计黑客已经盗取至少8000万美元的加密资产，且随着时间推移估计还有更多用户钱包会被盗。
黑客是如何获得Ledger经销商的？
黑客在3月份秘密收购了Ledger在东南亚的授权经销商CryptoBilis，并要求原团队对收购事件保密至少6个月。
这次事件是怎么被发现的？
前Mt.Gox负责人马克·卡佩莱斯发布硬件拆解图，发现一台来自马来西亚的Ledger Nano X在屏幕缓冲位置有额外电路板，从而曝光了此事。
黑客身份可能是谁？
目前猜测是朝鲜黑客，但行业还在继续调查中，暂时无法确认黑客身份。
