Ledger 于 2026 年 10 月 15 日宣布，针对其授权零售商推出新的安全要求。此前，攻击者在正品加密货币钱包中安装了隐藏电子元件，窃取用户的恢复短语并获取其资金。

Ledger 表示，在犯罪分子篡改正品硬件钱包、借此盗取加密货币后，公司已收紧转售商规则。

• 隐藏植入件会在设备设置过程中捕获钱包恢复短语，并通过蜂窝网络传输敏感信息。
• Ledger 在调查受影响设备期间，暂停了东南亚和香港的授权转售销售。
• 安全团队检查了零售和仓库设备，称其抽检样本中未发现受影响设备。
• Ledger 已要求零售商停止展示钱包，并禁止无例外地转售退回设备。

这家硬件钱包制造商证实，攻击者购买了合法设备，对其进行改装后，再通过东南亚的分销渠道重新流入市场。Ledger 已暂停该地区的转售销售，检查了来自零售门店和仓库的设备，并开始与执法部门合作追查被盗资金。

公司称，其内部系统、操作软件和安全芯片均未遭入侵。调查人员仍在继续确认此次攻击的完整范围，包括这些被篡改设备是如何进入市场的。

Ledger 钱包攻击涉及隐藏的恢复短语植入件

Ledger 的调查发现，攻击者为这次行动准备了数月。他们购买了正品硬件钱包，拆开设备，并插入定制电子元件，用于在设置过程中捕获恢复短语。

恢复短语通常包含 24 个单词，用户可借此恢复对加密货币钱包的访问。任何获得这些单词的人，都可能在另一台设备上重新创建该钱包并转移其资产。

攻击者利用恢复短语出现在设备屏幕上的那一刻。隐藏组件收集这些单词，并将其传输给由犯罪分子控制的基础设施。

在 10 月 13 日的技术更新中，Ledger 的 Donjon 安全团队解释称，该植入件使用微控制器读取短语，并通过嵌入式 SIM 卡经 LTE 蜂窝连接传输信息。

公司表示，该植入件独立于保护敏感加密信息的 Secure Element 运行。调查人员没有发现恶意组件修改操作系统或更改交易签名的证据。

此前针对 Ledger 钱包中隐藏芯片的调查曾记录，未经授权的电子元件如何在不改变设备正常签名功能的情况下暴露恢复短语。

Ledger 最新声明将此描述为一场有组织的犯罪行动，涉及设备采购、分销安排以及用于收集被盗钱包凭证的基础设施。

这家制造商称，该团伙为这次攻击花费了数百万美元，但未提供财务拆分，也未指认相关人员。

据报道，攻击者利用收集到的恢复短语，在 10 月 9 日的一次协同盗窃行动中访问了多个钱包。

尽管独立区块链调查人员估计损失超过 8600 万美元，但 Ledger 尚未核实被盗总额或受影响客户数量。

Ledger 暂停东南亚地区的钱包销售

在发现问题后，Ledger 要求东南亚及香港的授权经销商和分销商暂停设备销售，直至调查人员检查受影响的分销渠道。

受限地区包括印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚和香港。

东南亚的一家转售商 CryptoBilis 先前曾被关联到涉及篡改设备的已确认案例。

在有客户报告资金损失后，该公司曾暂停硬件钱包销售。

此前关于 CryptoBilis 钱包调查的报道记录了 Ledger 对未经授权植入件的发现及其对客户投诉的初步回应。

在收到涉及其他地点的报告后，Ledger 随后将预防措施扩大到该转售商之外。

在德国，MediaMarkt Saturn 在一名客户设备被报告存在植入件后，停止通过实体门店和线上平台销售 Ledger 设备。

Ledger 表示，德国案例并未导致任何已确认的客户资金损失。

这一事件促使德国的 Ledger 钱包销售也被单独暂停，公司同时审查设备并调查相关情况。

在 10 月 15 日的更新中，Ledger 表示，调查人员已从不同市场的门店购买设备，包括德国，并拆开进行实物检查。

公司还检查了仓库样本，并筛查了其自有库存的一部分。

Ledger 称，在这些检查中抽检的样本未发现未经授权的组件。

不过，公司未披露检查了多少台设备，因此潜在受影响产品的总数仍未确认。

Ledger 将此次事件描述为“局部分销攻击”，并坚持认为其制造系统并非此次受损的原因。

调查尚未精确确定每一台受影响设备究竟是在何处被改装。

Ledger 为硬件钱包零售商推出新规则

作为应对措施的一部分，Ledger 已要求授权零售商改变硬件钱包的存放和销售方式。

零售商必须停止将 Ledger 设备摆放在展示架和柜台上。相反，他们必须将产品存放在仓储区域，并仅在发生购买时再交给客户。

公司称，这些要求已立即生效，目的是减少未经授权接触设备的机会。

Ledger 还提醒授权销售商，退回的设备绝不能再次出售，即便包装看起来未开封或产品看起来未使用过。

这一规则本已存在，但 Ledger 已要求分销商无例外执行。

零售商必须在客户报告异常产品或可疑硬件时，及时通知制造商。

随着调查继续，公司正在加强对授权分销网络的监督。

Ledger 表示，其安全团队进行了公司历史上规模最大的内部调查，动用了多个部门。

来自 Ledger Donjon 的专家拆解了回收的植入件，并检查其运作方式，以确定攻击者如何收集恢复短语。

制造商在调查期间与安全研究人员和行业合作伙伴合作，其中包括 SEAL_911。

Ledger 表示，团队正与执法部门合作追踪被盗资金，并识别用于收集钱包凭证的基础设施。

公司没有披露相关逮捕、正式刑事指控或追回资金的情况。

Ledger 说，待调查人员能够安全披露结果时，公司计划发布更多技术信息。

Ledger 计划进一步防护钱包篡改

除了眼前的零售限制外，Ledger 还在开发额外的产品安全措施，旨在让物理篡改更难发生。

公司尚未提供技术规格、受影响产品型号或推出这些防护措施的时间表。

Ledger 表示，将与其他硬件钱包制造商和销售商分享调查结果，以便他们审视自家产品中的类似风险。

该制造商此前曾警告通过 CryptoBilis 购买设备的客户，在联系官方支持前不要初始化设备。

对于已经使用过可能受影响钱包的客户，公司建议将其加密货币转移到一台可信设备上，并生成新的恢复短语。

如果攻击者已经获得旧恢复短语，那么在替换设备上恢复旧短语并不能保障资金安全。

Ledger 的安全指引提醒用户，切勿向任何声称代表客服的人透露恢复短语。

公司强调，其员工不会通过消息、电话或网站索要恢复词。

在 10 月 15 日的公告中，Ledger 承认调查仍在进行，且仍有进一步的安全工作要完成。

制造商重申，一旦调查允许披露，将发布有关此次攻击及犯罪分子所用方法的更多细节。