Ledger 黑客事件后：自托管还安全吗？
作者：Laura Shin 来源：Unchained 翻译：善欧巴，金色财经
过去一周，加密社区被一起硬件钱包供应链攻击震动：从东南亚授权经销商购买的 Ledger 设备，被人在内部加装了窃取助记词的隐藏模块，估计损失超过 1 亿美元，而这起攻击的筹备时间可能长达数月甚至一年以上。
Unchained 第 1250 期请来两位当事人视角的观察者：Karpelès Lab 首席执行官 Mark Karpelès，他拆解过多台被植入的设备；以及 SEAL 911 贡献者、Pangolin Intelligence 创始人 Jonty，他最早在链上追踪这批盗币地址。两人还原了攻击手法、发现过程、波及范围，以及一个更根本的问题——当授权渠道本身被攻破，自托管还剩下多少安全边界。
以下为对话实录整理，内容有删节。
攻击是怎么被发现的
Laura Shin：这周加密社区被一连串黑客事件震住了，估计有超过 1 亿美元从东南亚经销商 CryptoBilis 卖出的 Ledger 硬件钱包里被盗。Jonty，据我所知你是最早在推特上披露这件事的人，你是怎么发现的？
Jonty：除了本职工作，我还是 SEAL 911 的贡献者。我们是一群大约 25 名经过审核的安全研究员，运营一条 7×24 小时的免费加密应急热线，求助者从损失数亿美元的大公司，到遭遇钓鱼攻击的普通用户都有。
Jonty：所以盗币一开始出现，人们就陆续来报告：「我的 Ledger 被清空了。」当我们在一段时间内收到大约五起内容完全相同的报告时，就开始警觉了。
Jonty：我主要做链上分析，所以立刻去看这些盗币地址，发现地址的流入量明显大于主动联系我们的受害者所报告的损失金额。这说明实际规模比我们接触到的受害者大得多。按我最后的统计，这一波损失已经超过 1 亿美元。
Jonty：但当时我们并不知道损失的确切原因，唯一的办法是让更多受害者来报告，才能找出规律。所以我在推特上公开了盗币地址，请受害者联系我。
植入模块如何偷走助记词
Laura Shin：Mark，你的公司一年前就写过这类攻击的分析，之后还看到过几代改进版本。这个攻击具体是怎么运作的？
Mark Karpelès：做法是在 Ledger 设备里加装一个额外模块，它会在你初始化设备时盯着屏幕。初始化时屏幕上会显示助记词，也就是保护你钱包里全部资产的密码，由 24 个单词组成。
Mark Karpelès：你看着屏幕把单词抄到纸上的同时，植入模块也在逐词记录。等你抄完 24 个单词，它就通过模块里内置的移动网络，把你的密码发给攻击者。
Laura Shin：这手法太巧了。Ledger 本来以安全元件「无法穿透」著称，但植入物完全绕开了这一点——它只是看着屏幕，然后用一颗 eSIM 把信息像手机数据一样发出去。
CryptoBilis：授权渠道本身被攻破
Laura Shin：CryptoBilis 很快被认定为涉事经销商。我们对它了解多少？
Mark Karpelès：目前信息不多。最早浮出来的情况是，CryptoBilis 的创始人在大约半年前把公司卖掉了，但我们不知道这跟本次事件有没有直接关系。可以确定的是，很多受害者是从 CryptoBilis 买的钱包，也有人拆开后在里面发现了植入物。
Jonty：比这更根本的是：CryptoBilis 是 Ledger 的授权经销商，也就是 Ledger 批准可以销售其硬件钱包的渠道之一，覆盖印度尼西亚、马来西亚和菲律宾，跨多个司法辖区。这正是这起供应链事件与以往那些假硬件钱包案例的不同之处——这次卖的是正品，只是被动过手脚。
Laura Shin：我注意到有人说，公司是去年春天卖掉的，而原老板称受合同保密条款约束，10 月 19 日之前不能公开发声。黑客事件和这个日期之间的关系很耐人寻味。也有人据此推断，CryptoBilis 的新股东可能牵涉其中。你怎么看？
Jonty：目前什么都还没有确证，我不想指控任何人。那个时间点确实很可疑，但还有另一件事与「CryptoBilis 就是源头」的推论相冲突：东南亚还有其他授权经销商，也被发现卖过被动过手脚的设备，并且造成了盗币。所以问题不只出在 CryptoBilis 一家。
Jonty：不过要说清楚：在 Ledger 公开的口径之外，我没有看到东南亚以外出现盗币的报告。
Laura Shin：那 9 月 8 日那批被盗的设备，是通过 CryptoBilis 卖的，还是你说的其他经销商？
Jonty：是东南亚的其他经销商。
链上还原：不止一波，也不止一家
Laura Shin：所以这一波之外，还有别的批次？
Jonty：从链上分析看，除了引爆媒体关注和让我们察觉的这一波，10 月 9 日还有一波较大规模的攻击。而且从链上痕迹看，这些盗币者此前就已经清空过钱包——我能追溯到的最早一次是 9 月 8 日，大约早一个月，但金额小得多，所以没有引起像 CryptoBilis 这样的巨大关注。
Laura Shin：Mark，你自己也看过其他东南亚经销商的设备？
Mark Karpelès：是的。我收到过一台在新加坡樟宜机场 Metapod 门店买的设备，Metapod 也是 Ledger 的授权经销商。这台设备里同样有间谍植入模块，型号是 Ledger Flex，比 Nano X 复杂一些。我很惊讶它用来偷看屏幕的技术已经这么先进。
Laura Shin：和这一波用的是同一种吗？
Mark Karpelès：不完全相同。它是完全为 Ledger Flex 定制的版本，和 Nano X 上看到的不一样，但板子和工艺是同类的，都是三颗芯片：一颗监视屏幕、记录助记词，一颗通过移动网络把截获的内容发出去，还有一颗 eSIM，相当于一张用来联网传输数据的数据卡。
植入模块已经迭代了三代
Laura Shin：你说它很精密，具体精密在哪？
Mark Karpelès：我们见过好几个版本。最早一版是去年年底被发现、今年 5 月前后公开的，就是一块飞线板，导线连到 Ledger 的不同点位，非常显眼、非常不自然。之后出现了橙色柔性板，看起来专业一些，但安装仍然很费工。
Mark Karpelès：最新这版改用黑色板，用在 Nano X 上几乎可以「卡进去」——放上去、稍微挪一下，它就扣住了，只需要焊几个点。
Mark Karpelès：很明显，这个植入模块在不断改进，做这件事的人在学习和升级，而且不是小修小补，是跨越式的进步：投入了大量资金做真正的研发。我收到的那台 Ledger Flex 里，有些元件是专门为 Flex 定制的。Flex 用了很多极小的连接器，他们甚至自制了「Flex 延长线」，接在原装连接器和目标板之间，复制送往屏幕的信号。
Mark Karpelès：没有大量试错和一堆测试机，是做不出这种东西的。这背后显然是数月的研发，不是几天能做出来的。
波及范围扩到欧洲
Laura Shin：10 月 11 日，一位叫 Johannes 的用户发推说，事件并不局限于亚洲：他在欧洲一家官方零售店买的设备里，也能看到不该存在的线缆。第二天他又在另一家 MediaMarkt 门店买了一台，全程录像开箱，再次发现间谍模块。欧洲的情况到底有多广？你们有记录到欧洲的受害者吗？
Jonty：从我所掌握的受害者报告看，我没有看到在欧洲购买设备导致盗币的案例，所以无法从受害者侧证实。
Jonty：设备本身，他把两台分别寄给了我和 Ledger。寄给我的那台今天到了，我看过内部，确认有间谍植入模块，安装方式与我在这里见到的略有不同，但植入物本身是一样的。
Jonty：同时，Ledger 已暂停 MediaMarkt 的所有销售，并表示已核验全部库存、没有发现被篡改的设备。所以目前信息还很有限：只有一个人、在两个不同门店买到两台被动手脚的设备。
Laura Shin：他买的第二台不是退货机。他发推说，门店记录显示这批库存来自分销商 Aqipa GmbH；而 Ledger 的 CTO 当时并不确定 Aqipa 是不是 Ledger 与 MediaMarkt 之间的直接分销商，但看起来是这样。考虑到 Aqipa 在整个欧洲分销，任何通过它进货的实体零售店都可能面临风险。他还呼吁 Ledger 立即召回产品。你同意这是个好办法吗？
Mark Karpelès：这个问题现在很复杂。至少让所有从 Aqipa 进货的门店暂停销售，是有道理的。眼下的主要问题是，货架上摆着的设备有没有被动手脚，很难判断。
Mark Karpelès：拆开看其实很容易，但我不认为 Ledger 已经把 MediaMarkt 库存里的每一台都拆过——那要花好几天，而且等于让全部库存都卖不出去。
Mark Karpelès：对终端用户来说，自查并不难，尤其是 Nano X，很容易打开，打开后植入物非常明显，至少目前是这样。但现在这个阶段，Ledger 不想制造恐慌，研究员也不愿说出还没确认的事。
Mark Karpelès：不过我仍然认为，哪怕只有一个人在一个原本没有问题的销售点、尤其是在授权经销商那里发现一台植入设备，这都是非常严重的问题。
Laura Shin：MediaMarkt 是授权还是非授权经销商？
Mark Karpelès：是授权的，在 Ledger 官网的名单上。
Jonty：如果 Ledger 能证实 Johannes 的说法，那么停售、乃至在欧洲召回设备，会是审慎的安全措施。但我想他们掌握的信息比我们多得多，也不愿在无法核实的情况下行动，这大概就是他们还没这么做的原因。没有他们手里的信息，这个问题很难回答。
幕后是谁：暂时没有答案
Laura Shin：现在我们知道不只是 CryptoBilis，东南亚还有 Metapod，欧洲也出现了。结合 Mark 一年前的文章，你推测发生了什么？是有人先想出这个手法、做了测试，然后大规模执行？
Mark Karpelès：过去这类攻击成本极高，只针对非常特定的目标。比如伪造 10 到 20 台设备，寄给从泄露数据里拿到的地址，告诉对方「你的信息泄露了」或者「你手上的设备有问题，请换用这台」。这种事确实发生过。
Mark Karpelès：变化在于，新植入模块是为量产和快速安装而设计的。我可以说，未来我们很可能会看到更多类似事件。
Mark Karpelès：至于眼下，我无法确定那两台设备是「运气不好」，恰好撞上了 MediaMarkt 全部库存里仅有的两台被感染的机器，还是库存里还有更多。也完全有可能他们只处理了一半库存、只处理了部分包装盒，或者他们找到了另一种把植入设备塞进 MediaMarkt 库存的方式。现在很难判断。
Mark Karpelès：但有一点可以确定：对你自己要用的设备，检查有没有被植入是很容易做到的。所以现阶段没必要恐慌，看一眼，谨慎一点就好。
Jonty：我补充一个观点，先声明这是推测：既然我们知道，制造这起事件的人也在多个经销商渠道上动手脚并造成盗币，我推测动手的环节可能在经销商之上，也许是分销商这一层。但没有 Ledger 提供信息，这很难确认。
Jonty：有一点我认为是利好：如果问题真的非常普遍，到现在我们应该已经看到东南亚以外出现相当规模的损失了。既然没有，这算是个好迹象，说明问题或许是被控制住的。但接下来几天还要继续看。
Jonty：正如 Mark 所说，现在最该做的是：如果你担心，就自己检查。另外我想强调——千万不要恐慌。在 SEAL 911 我们经常遇到这种情况：人一慌就容易犯低级错误，反而给自己带来更大风险。有人拆机时把 Ledger 弄坏，又没备份好助记词，钱就没了；有人转移资产时操作失误，同样失去访问权。这类报告我们确实收到过。所以无论做什么，都要谨慎、想清楚再动手。
还能从授权经销商买吗
Laura Shin：我一直听说最好直接从厂商购买。我之前没意识到他们的授权经销商名单这么长，也没意识到从经销商买这么普遍。在这件事之前，购买渠道之间是否存在安全等级？
Jonty：如果你只关心物理安全，尽量减少设备到你手上之前经手的环节，是合理的做法。所以直接从 Ledger 购买，是降低这类风险最好的方式。
Jonty：但这会带来其他风险，所以从授权经销商购买也有正当理由。过去我们看到很多硬件钱包公司或其物流服务商被入侵、导致用户数据泄露，有些人希望能在实体店用现金购买，避免个人信息流到网上。
Jonty：还有更基本的原因：某些国家对加密设备的进出口有严格法律。比如越南，进口加密设备需要牌照，个人从法国直邮会非常麻烦，甚至可能在海关被拦下。这就是这些辖区存在授权经销商的原因。这是一个权衡，但纯粹从物理安全角度，直接向厂商购买能减少经手环节、降低供应链被攻破的风险。
Laura Shin：有人发推说 Ledger 应该立刻终止授权经销商计划。你怎么看？
Mark Karpelès：我认为这太激进了。但 Ledger 可以采取一些措施，让这类问题无法发生，或者变得难得多。
Mark Karpelès：比如我不清楚 CryptoBilis 易手时，Ledger 是否被通知、是否审核过新的经营者。Ledger 在产品侧也能做更多，比如采用一旦拆封就能看出的永久封装。这类方法总会被破解，本质上是猫鼠游戏，只能比对方跑得更快。
Mark Karpelès：还有一点我认为 Ledger 本可以做到：这个隐患至少已经讨论了六个月，并不新。他们本可以告诉用户，从第三方、哪怕是授权经销商购买设备时，可以打开看看，对照说明书里的硬件示意图核验。
Mark Karpelès：因为 Ledger 确实在每台设备的说明书里印了内部构造图，但同一页又写着拆机会失去保修。一边给你看内部图，一边说看了就没保修，这本身就矛盾。
Mark Karpelès：Ledger 早就知道这个问题，至少应该发一份通用指引，让部分用户去检查自己的设备。像 CryptoBilis 这种受害者很多的经销商，只要有一个人拆开发现了问题，很可能就会带动其他人去查，这次的总损失会小得多，攻击也会被发现得早得多。
Laura Shin：有个细节很有意思：一位自称量子物理学家的用户翻出旧包装，上面写着「本包装盒没有防篡改贴纸」，理由是「加密机制会在每次开机时校验设备内部软件的完整性，安全元件可阻止任何拦截或物理替换尝试，Ledger 设备被设计为防篡改」。他们当年在宣传这个，结果显然并不成立。
拆机自查：看屏幕后面
Laura Shin：Mark，能带大家走一遍吗？现在持有硬件设备的人，怎么确认自己的设备是安全的？
Mark Karpelès：目前已知受影响的只有 Ledger 的设备。不同型号难度不同，Nano X 最好查。
Mark Karpelès：拆开很简单：先取下这颗金属销，用刀小心撬，注意别割到手，稍微转一下就能打开。最好倒过来拿，免得按键掉得到处都是。
Mark Karpelès：这样就能看到这台全新 Nano X 的电路板，是干净的。重点看屏幕下方——屏幕的输出就在这里，目前所有已知的植入模块都必须接到这个位置取数据。屏幕后面有一排测试点，植入物就是从这里抽数据。如你所见，这里什么都没有，这台 Nano X 是干净的。
Mark Karpelès：装回去也很简单：USB 口对着黑色按键那一侧，这一面朝下放好，上盖这样扣回去，就复原了。
确认被植入后该怎么办
Laura Shin：Jonty，如果有人发现设备被动过手脚，应该怎么做？
Jonty：再强调一次：不要恐慌，不要做任何会给自己带来更大麻烦的冲动决定。但要把它当作已经泄露的设备处理，它保护的资产必须转移到一台全新、安全的钱包。
Jonty：可以换一台没有被污染的硬件钱包；如果只是临时存放，也可以用 MetaMask、Phantom 这类常见的软件钱包。把资产从被污染的 Ledger 转到安全钱包，问题就控制住了。
Jonty：如果你有被动手脚的设备，请联系 SEAL 911，我们很想了解并看到实物，弄清它到底是怎么做的。即使没有丢资产也可以联系我们；如果丢了资产，请尽快向所在地警方报案——这是案件正式立案的途径，也只有警方拥有处置被盗资产的法定权限。我们也可以免费指导你走完整个流程。
自托管是否已死
Laura Shin：8 月有 Coldcard 的事件，现在又是 Ledger。你怎么看当下的自托管？它死了吗，还是只是暂时不安全，或者需要一套新的最佳实践？
Mark Karpelès：自托管有充分理由存在，因为个人电脑会中毒、会被入侵。信息安全里有个概念叫「攻击面」，指的是一个系统里所有可能被进入的入口。对电脑来说，你连着互联网、整天浏览网页、经常插 U 盘，这些都是风险因素。
Mark Karpelès：把私钥保存和签名放在一台连接能力受限的独立设备上——比如只有 USB 和蓝牙——就缩小了攻击面，让你的资产免受病毒感染。我认为冷钱包、硬件钱包在减少病毒盗币上是成功的，成功到犯罪团伙转而寻找攻击设备本身的办法。Ledger 市占率最大，自然成了第一个目标，因为那里「有肉」。
Jonty：在 SEAL 911 这边我可以确认：使用热钱包——也就是密钥存放在联网电脑或手机上——造成的损失，远大于硬件钱包。恶意软件窃取密钥仍然是主要问题，硬件钱包确实能解决这个问题。
Jonty：但我也同意，现在是一段很艰难的时期。不只是 Ledger 这一次，还有接连出现的数据泄露、熵值问题，让这个阶段格外难熬。我知道有人主张用一台隔离的 iPhone 专门做交易签名，这是一种选择。
Jonty：但我个人仍然认为，对不太懂技术的普通用户来说，如果要自托管，硬件钱包大概仍是最好的方案。当然你不一定要自托管，也可以把安全托付给交易所，或者只买主流币的话考虑 ETF。
Jonty：具体建议是：现阶段一定要直接从厂商购买，不要依赖经销商网络；收货地址不要用你自己的，也不要在过程中使用任何可识别个人身份的信息。我也希望硬件钱包厂商认真做威胁建模，把这个攻击面再缩小，因为现在显然不达标。以这种方式收场很遗憾，但我仍认为这是前进的方向。
Mark Karpelès：邮箱可以用别名，iPhone 就会提示帮你生成；付款可以用 privacy.com 这类临时虚拟卡。如果能在实体店现金购买，也是一种选择。办法其实不少。
资金能追回吗
Laura Shin：Tether 已冻结约 1000 万美元 USDT，有 464 枚 ETH 流经 Tornado Cash，PeckShield 追踪到不足 400 万美元流向 Binance 充值地址。你认为资金追回最可能的结果是什么？
Jonty：幸运的是，因为 SEAL 911 被通知得非常快，我们得以立即追踪资产，并与 Tether 和执法部门协作完成冻结。如果行业有更好的应急响应机制、能更快完成冻结，这一次我们本可以挽回更多，可能是这 1000 万美元的数倍。但能保住这 1000 万已经很好，另外还有其他机构冻结了用于洗钱的资产。
Jonty：但总的来说，资产追回是极其复杂的过程，这个案子还有几个额外难点：这不是某一家机构被盗、损失集中在一处，而是分布在全球的大量个人受害者，资产彼此混同，而司法管辖在法律案件里非常关键——不确定该由哪支警力负责扣押。
Jonty：资产冻结之后，实际追回还需要律师、检察官、国际执法协作，可能还有国际刑警介入，才能理清流程。不幸的是，这个过程要数月甚至数年。所以我乐观地希望至少能追回一部分，但短期内恐怕不会发生。
Laura Shin：考虑到跨辖区和需要多国执法协作，你觉得这个案子最终实现某种形式的正义，概率大吗？
Jonty：就追责而言，我们其实还不知道是谁做的。但有一件事会极大帮助这个过程：植入的硬件留下了大量物理证据链，这些硬件会「呼叫」某些地方。这既是技术工作，也是传统侦查工作，可以用来确定植入模块的制造地点。
Jonty：在这项工作完成之前，很难判断。如果动手脚的地点在一个相关执法部门够不到的辖区，就会非常棘手；如果就在东南亚本地，有关部门可用的手段会多得多。具体概率很难估计，我保持谨慎乐观。
节目播出后的补充
节目播出前不久，Ledger 发布了两则我们直到节目结束后才看到的公告，因此没能在节目里讨论。
其一是一份事件调查说明。Ledger 称，一个有组织的犯罪团伙耗时数月购买正品 Ledger 设备，拆开后装入定制的隐藏组件，用于在初始化时捕获助记词，随后通过东南亚的经销商重新投入分销。
Mark、Jonty 和我在节目中讨论的一切仍然成立，但要注意：Ledger 只承认经销商问题存在于东南亚，这与欧洲购买的设备同样存在问题的报告相矛盾。Ledger 的公告称：「我们追踪了每一条线索，包括派团队前往包括德国在内的当地市场，从门店随机购买并拆开多台设备，我们也检查了仓库样本。每一台受检设备都是干净的。」也就是说，Ledger 自身尚未找到欧洲经销商所售设备也被攻破的佐证。
在那份公告之后，Ledger 又发布了新设备 Ledger Atom，主打抗量子、安全元件芯片、隐私开关、AI 智能体功能，以及访问 DeFi 协议的能力。但以这个时间点发布，推文遭到大量嘲讽，有评论写道：「在刚刚发生这一切之后还认为发布新产品是个好主意的人，应该立刻被开除。」我们没能在节目中讨论这一进展，但考虑到这次发布的尴尬时机，这款设备后续的市场反应值得关注。
