硬件钱包制造商Ledger首次公开说明了，CryptoBilis出售的设备中一个隐蔽组件如何在不更改Ledger软件的情况下窃取用户主密钥。

Ledger表示，部分由CryptoBilis出售的硬件钱包中存在一个隐蔽植入组件，它会从设备屏幕上捕获用户的恢复短语，并通过LTE移动网络将其传送给攻击者。

Ledger将这些盗窃描述为一次物理供应链攻击，没有危及其软件、内部系统、安全元件或交易签名流程。

链上研究者估计，超过300个钱包损失最高达9320万美元。

Ledger周二在X上的一份调查更新中表示，植入在部分由东南亚转售商CryptoBilis出售的Ledger加密钱包设备中的隐蔽硬件，会读取用户在设备屏幕上显示的24词恢复短语，并通过手机网络将其发送给攻击者。

Ledger称，这个间谍芯片位于设备外壳内部。当用户设置签名器、屏幕显示恢复短语时，植入组件的微控制器会识别并解码这些单词，然后利用eSIM通过LTE——一种手机使用的数据传输技术——将信息传输出去。

恢复短语是加密钱包的主密钥。任何持有它的人都可以在其他设备上重新创建钱包，并转移其中资金，而无需原来的Ledger设备，也无需更改设备上的任何交易。

Ledger给出的这份说明，是对与CryptoBilis相关盗窃案背后机制的首次公开解释。Ledger表示，该植入并未修改设备的安全元件——用于保护私钥的芯片——或其操作系统，也没有篡改交易或签名。该事件属于物理供应链攻击，而不是Ledger软件或内部系统遭到入侵。

Ledger称，已确认有一台受影响的签名器内含未经授权的植入组件，且10月9日事件中每一笔已确认损失都涉及由CryptoBilis出售的设备。Ledger表示，尚未核实一宗涉及在其他渠道购买的签名器的盗窃案，同时也在调查其他设备和地点出现植入组件的报告。

这家法国公司尚未确认受害者总数或被盗金额。不过，链上研究者估计，超过300个钱包的损失最高达9320万美元，Tether则冻结了与这起盗窃有关的1000万美元美元稳定币USDT。

Ledger称，CryptoBilis已停止销售Ledger签名器。Ledger告诉从该转售商购买设备的客户不要对其进行初始化。对于已经使用过该设备的客户，Ledger表示，应将资产转移到一台使用新生成恢复短语的新设备上。