硬件钱包Ledger的供应链安全风波在10月持续发酵。10月11日，加密分析师Darkfost发文称，在CryptoBilis相关安全事件曝光后，社区讨论中又出现了其他可能存在风险的经销商，包括部分Lazada平台商家。Darkfost表示，Ledger目前尚无法确认CryptoBilis是否为唯一涉及风险的销售渠道，考虑到部分经销商在区域分布上存在关联，不能完全排除多个渠道供应链同时遭到破坏的可能。他基于社区披露的信息整理了一份“潜在风险Ledger经销商”名单，涉及20多个经销商，并提醒若在过去6个月内通过名单所列渠道购买过Ledger硬件钱包，应审慎评估设备安全性。
异常设备案例扩散至多个地区
疑似相关案例陆续在亚洲、南美和欧洲等地出现。安全研究人员Johannes披露，一名用户从欧洲一家Ledger官方经销商处购买硬件钱包数周后，发现设备内部存在未经授权植入的硬件组件。Johannes表示，该植入物疑似采用较早期的设计，而更新版本的植入组件可能隐藏在屏幕后方，使检测难度进一步增加。
疑似遭到硬件篡改的设备型号范围也在扩大。除主流产品Ledger Nano X外，高端旗舰型号Ledger Stax也被曝疑似硬件遭篡改。推特用户@Wentrre在拆解自己的Ledger Stax后，发现主板上多出一块小板，以及一枚标注为Nordic nRF9151的蜂窝通信模块，设备内部还存在疑似天线导线。该用户随后向Ledger询问设备是否存在异常。安全机构慢雾创始人余弦发布了拆解对比图，指出该异常样本中出现了额外通信模块及疑似天线导线，而官方正版Stax的参考图片中并未显示这些结构。余弦称，此次Ledger被植入后门事件中，相关人员堪称“硬件黑”高手。
随着更多案例曝光，部分用户表示已不敢开机刚刚购入的Ledger钱包，也有人选择自行拆解设备、公开内部照片，寻求社区和安全研究人员协助验证，社交平台上也出现了不少拆机教程。
Ledger称已确认盗币案例均涉及CryptoBilis
10月12日凌晨，Ledger发布了针对CryptoBilis事件的72小时更新说明。Ledger表示，公司正与相关执法部门合作调查，目前确认受影响的设备数量有限，并已主动联系相关用户，建议受影响用户通过官方渠道联系客服并向当地执法部门报案。
Ledger同时强调，截至公告发布时，所有已确认的资金被盗案例均涉及通过CryptoBilis销售的设备，公司自身系统及直销渠道未受影响。CryptoBilis目前已确认停止销售所有硬件钱包。针对潜在受影响用户，Ledger提醒切勿初始化尚未使用的相关设备；如果设备已经完成设置，则应将资产转移至通过官方渠道获取的新设备，并使用新设备生成全新的助记词。Ledger还表示，将继续审查并强化分销管控及防篡改流程，要求分销商必须仅通过授权渠道采购产品，且绝不能将退货商品重新上架销售。
多家硬件钱包厂商回应渠道风险
CryptoBilis销售的并不只有Ledger。随着事件持续发酵，OneKey、SafePal、Trezor、Tangem、imKey等硬件钱包品牌也陆续作出回应。
OneKey创始人Yishi表示，目前尚未收到相关设备受损的报告，但公司已终止CryptoBilis的授权经销商资格，并为通过该渠道购买相关产品的用户提供免费更换服务。OneKey同时宣布暂停新增经销商，全面重新审核现有经销渠道，对于无法核实经营主体或最终受益人的经销商将取消授权。
SafePal表示已关注到相关报告，并介绍了其硬件钱包现有的多重防护机制，包括在首次设置时验证设备真伪及使用状态、对曾被激活的设备发出警告并显示首次激活日期，以及通过防拆封条识别包装是否曾被打开。Trezor表示正在积极调查CryptoBilis经销商安全事件，目前暂无迹象表明其设备受到影响，作为预防措施已将CryptoBilis移出授权经销商名单，并提醒用户不要自行拆解设备。Tangem则称其卡片式硬件钱包采用安全芯片与NFC天线一体化密封设计，私钥在芯片内部生成并完成交易签名，用户可通过Tangem App验证设备真伪及首次激活状态。imKey发布声明称，截至目前尚未收到与此次事件相关的设备异常或资产损失反馈，将进一步核查授权经销渠道。
从这些回应来看，各家厂商都在尝试通过渠道整顿、产品安全机制说明及用户风险提示，回应市场对设备安全性的质疑。对于硬件钱包厂商而言，要真正走出危机，仍需要更具说服力的实际行动，包括透明且可验证的调查结果、清晰的风险排查与处置方案，以及能够经受检验的供应链管控和防篡改措施。
声明：文章不代表CHAINTT观点及立场，不构成本平台任何投资建议。投资决策需建立在独立思考之上，本文内容仅供参考，风险 自担！转载请注明出处：https://www.chaintt.cn/71368.html