冷錢包神話破滅？Ledger硬體錢包遭植入間諜晶片 馬來西亞通路釀9千萬美元盜損

在吉隆坡市中心一間小型加密貨幣商店的鐵捲門上，貼著一張日期為10月10日的告示：「我們的實體店面暫時歇業，直至另行通知。」

馬來西亞零售商CryptoBilis是硬體加密貨幣錢包的轉售商，如今已成為一宗盜竊案調查的核心。這些錢包原本設計用於離線保護數位資產，但從10月9日起，客戶陸續通報資金失蹤，區塊鏈研究人員估計損失金額已超過9,000萬美元（約合馬幣3億6,729萬令吉）。

總部位於巴黎的Ledger SAS為受影響錢包的製造商，該公司在10月15日表示，一個「組織嚴密的犯罪集團」在部分裝置中植入了隱藏硬體。Ledger先前已將問題指向CryptoBilis，但目前也正審查來自其他通路所售錢包也被植入裝置的回報，意味著問題可能不僅限於單一零售商。

這是曾被視為加密貨幣最安全工具再次出現漏洞的最新案例。近幾個月來的多起駭客事件顯示，即使是用於將數位貨幣隔絕於網路犯罪份子觸及範圍之外的實體裝置，仍可能遭到入侵，有時甚至在用戶打開包裝之前就已被動過手腳。

區塊鏈安全公司CertiK的資本市場與政策主管Esme Pau表示：「這揭示了加密貨幣儲存是一種操作風險，而不僅僅是密碼學上的風險。現實世界的安全性取決於整個流程的每個環節。」

Ledger發言人表示，公司正進行調查，包括與當地執法機關合作，將在掌握更多資訊後對外公布。CryptoBilis則未回應置評請求。

社群媒體上的偵探們已著手調查這些植入裝置的運作原理。根據他們的說法，這些秘密安裝的硬體會截取傳送至Ledger螢幕的密碼，接著透過行動網路將密鑰傳輸給駭客，使其得以在其他裝置上存取資金。

Ledger的硬體搭載防護晶片，但根據這些專家的說法，此次攻擊繞過了該晶片的防護。因此，這些植入裝置能夠在使用者進行標準安全檢查時蒙混過關，等到察覺有異時已為時已晚。

網路安全技術公司FailSafe的執行長Aneirin Flynn表示：「防範一種類型的攻擊，並不代表就能消除其他攻擊手法。」

這次事件是「冷錢包」長達數月危機的最新篇章。冷錢包用於儲存私鑰且不連接網路，過去被視為犯罪份子無法攻破的堡壘。然而今年夏天，由Coinkite Inc生產的類似裝置因軟體缺陷而暴露嚴重漏洞，導致估計價值1.3億美元（約合馬幣5.3億令吉）的比特幣遭竊，並在整個產業掀起連鎖效應。隨後，另一家冷錢包公司Trezor也因其一家運輸商發生資料外洩事件，導致約6.7萬名客戶的個人資料外流。

Flynn指出：「人們購買硬體錢包是為了降低遭網路竊盜的風險，但他們仍須仰賴管理資產過程中涉及的軟體、服務與人員。」

新興威脅

Ledger最新的這起個案以全新的方式衝擊業界神經。問題並非出在軟體或資料安全缺陷，而是駭客實際撬開實體裝置來竊取資金。即便Ledger在10月15日發布更新說明後，問題的完整規模仍不明朗。

多年來，該公司推出了多款不同設計的裝置，其中包括一款售價899美元（約合馬幣3,668令吉）的新產品。舊款機型如Nano X，有時會流入CryptoBilis這類第三方業者手中，經過翻新後再行轉售。

在吉隆坡從事加密貨幣產業的Ben Yorke表示，他在新加坡樟宜機場的Metapod商店購買了一台Ledger Flex。在來得及設定之前，他注意到裝置的外觀似乎有被動過手腳的痕跡。

Yorke指出：「我注意到裝置側面有細微但可疑的痕跡，顯示有人可能試圖撬開裝置的背蓋。」

他將裝置寄給了由加密貨幣創辦人轉型為研究人員的Mark Karpelès，目前負責Tibane Labs。Karpelès曾掌舵數位資產交易所Mt. Gox，該交易所曾發生加密貨幣產業最嚴重的其中一場駭客事件。Karpelès現居日本，2019年因竄改與Mt. Gox倒閉相關的財務紀錄而遭判緩刑，挪用資金的罪名則獲判無罪。

Karpelès是最早在社群媒體上發文、提供協助給Ledger遭駭受害者的先驅者之一。他檢視了Yorke的裝置後，發現一個連接到螢幕的客製化連接器，以及一顆行動通訊晶片和SIM卡。Karpelés在接受採訪時表示，這項技術的精密程度超乎預期。

Karpelès告訴彭博社：「這不是你在車庫裡隨便搞出一個Ledger植入裝置的傢伙。這是你在間諜電影中才會看到的那種規模。」