Ledger 竊密晶片事件，苦主竟是詐騙犯
Ledger 硬體錢包遭植入竊密元件的事件，出現一個諷刺的受害者。區塊鏈分析公司 Chainalysis 10 月 15 日在 X 上發文指出，這起盜領事件最大的受害者之一，竟然是一名詐騙犯，損失超過 60 枚比特幣、約 480 萬美元，而這些錢正是他靠「任務詐騙」騙來的。
詐騙所得存進 Ledger，再被盜一空
根據 Chainalysis 的說明，這名詐騙者經營的是「任務詐騙」：先付錢給受害者，請他們替真實商品刷假銷量、寫假評論；接著讓受害者的帳戶出現「負餘額」，要求他們先存入自己的錢，才能領到報酬。
Chainalysis 的鏈上追蹤顯示，詐騙者在 9 月 22 日把詐騙所得轉入三個不同的 Ledger 地址；10 月 9 日，竊賊把這三個地址全部清空，每個地址各轉出一筆，全部流入同一個錢包，而這個錢包已被通報為存放贓款的地址。據 Decrypt 報導，Chainalysis 公布的資金流向圖顯示，詐騙所得先經過一個彙整錢包，再分別存入三個 Ledger 地址，每個地址各被盜走約 164 萬美元。Chainalysis 並未說明詐騙者是在哪裡購買這些裝置。
廣告 - 內文未完請往下捲動
事件回顧：植入元件竊取 24 字助記詞
這起事件在 10 月 9 日首度揭露。鏈新聞先前報導，Ledger 資安團隊 Donjon 分析發現，遭竄改的裝置機殼內藏有獨立元件，會在用戶設定錢包時讀取螢幕上顯示的 24 字助記詞，再透過 LTE 行動網路傳出，取得助記詞的人就能還原錢包、轉走資金。Ledger 表示，已確認的損失全部涉及東南亞經銷商 CryptoBilis 售出的裝置，並已要求東南亞六國與香港的經銷商暫停販售並下架，範圍包括印尼、新加坡、泰國、菲律賓、越南、馬來西亞與香港。
損失規模仍在擴大。據 Decrypt 報導，鏈上調查人員 Specter 追蹤到的疑似盜領金額已超過 8,600 萬美元，但 Ledger 表示這個數字尚未經公司證實，受影響用戶數與總損失金額也還沒有確認，調查仍在進行中。
黑吃黑之外：硬體錢包的供應鏈風險
詐騙犯反被盜，聽起來像是「黑吃黑」，但這起事件真正的警訊在於供應鏈。硬體錢包的安全建立在「私鑰從不離開裝置」的前提上，一旦裝置在出廠到用戶手中的過程被動手腳，再強的晶片保護也形同虛設。Ledger 表示沒有跡象顯示其基礎設施、系統或官方直營通路遭入侵，換句話說，問題出在裝置流通到用戶手中的環節，而非 Ledger 的軟體或伺服器。
對一般用戶而言，最直接的防範方式是只透過官方或授權通路購買硬體錢包，收到裝置後檢查外觀與包裝，並且不要使用他人預先設定好、或附帶助記詞的裝置。Ledger 先前也建議，過去 90 天內向 CryptoBilis 購買裝置的用戶，若裝置尚未使用就先不要設定；若已啟用並存入資產，則應考慮將資金轉移到其他安全的錢包。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
