Ledger／CoinDesk・Cointelegraph：公開 CryptoBilis 裝置 LTE 間諜植入機制——屏幕讀助記詞外傳；MediaMarktSaturn 下架、Trezor 與 OneKey 斷授權

Key takeaway

法國硬件錢包廠商 Ledger 於十月十三日公開說明，經東南亞經銷商 CryptoBilis 售出的部分裝置內藏未授權植入件：可在初始化時從屏幕讀取二十四詞助記詞，再經內建 eSIM 以 LTE 流動網絡外傳。同日歐洲零售商 MediaMarktSaturn 下架全部 Ledger 貨品；Trezor 與 OneKey 亦切斷與該經銷商的授權。事件屬物理供應鏈攻擊，並非 Ledger 軟件或內部系統遭入侵；公司尚未核實總損失，鏈上研究機構估算僅供參考。

Ledger／CoinDesk・Cointelegraph：公開 CryptoBilis 裝置 LTE 間諜植入機制——屏幕讀助記詞外傳；MediaMarktSaturn 下架、Trezor 與 OneKey 斷授權

法國硬件錢包廠商 Ledger 於十月十三日公開說明，經東南亞經銷商 CryptoBilis 售出的部分裝置內藏未授權植入件：可在初始化時從屏幕讀取二十四詞助記詞，再經內建 eSIM 以 LTE 流動網絡外傳。同日歐洲零售商 MediaMarktSaturn 下架全部 Ledger 貨品；Trezor 與 OneKey 亦切斷與該經銷商的授權。事件屬物理供應鏈攻擊，並非 Ledger 軟件或內部系統遭入侵；公司尚未核實總損失，鏈上研究機構估算僅供參考。

本文交叉核對 CoinDesk、Cointelegraph 對 Ledger 調查更新與零售商聲明的報道，來源真實性已驗證。重點在於：助記詞一旦在屏幕顯示即可能被旁路竊取，傳統「Secure Element 完好／Genuine Check 通過」並不足以排除機殼內額外硬件。

Ledger／CoinDesk・Cointelegraph：公開 CryptoBilis 裝置 LTE 間諜植入機制——屏幕讀助記詞外傳；MediaMarktSaturn 下架、Trezor 與 OneKey 斷授權

Ledger 於十月九日開始調查經 CryptoBilis 售出裝置出現資金被抽空的報告，十月十日確認至少一部受影響裝置含未授權硬件植入。十月十三日（美國東部時間上午），公司首次公開描述攻擊機制：植入件位於機殼內部，當使用者初始化簽名器、屏幕顯示二十四詞恢復短語時，微控制器辨識並解碼詞語，再透過 eSIM 經 LTE 傳至攻擊者。CoinDesk 與 Cointelegraph 均引述 Ledger 當日調查更新，並強調此為物理供應鏈攻擊，並未修改 Secure Element、作業系統，亦未改動交易或簽名流程。

本文梳理技術機制、與既有「真品檢查」的落差、歐洲零售與同業經銷商反應，以及對香港與亞洲自託管用戶的實務啟示。

一、核心事件：由「確認植入」到「公開外傳路徑」

技術細節

Ledger 指出，間諜晶片藏於裝置外殼之內。攻擊窗口鎖定在用戶首次設定、屏幕逐詞顯示助記詞的階段：植入件的微控制器負責辨識與解碼屏幕內容，再以流動數據技術 LTE，配合嵌入式 SIM（eSIM）把完整二十四詞外傳。助記詞等同錢包主密鑰；任何人取得後即可在另一裝置重建錢包並轉移資產，無需觸碰原實體機，亦不必竄改鏈上簽名。

公司強調：植入件並未改動用於保護私鑰的 Secure Element，未改 OS，未改交易或簽名。因此攻擊繞過的是「屏幕顯示＋機殼物理完整性」，而非密碼芯片本身。Ledger 稱已確認一部受影響簽名器含未授權植入；十月九日披露事件中，所有已確認損失均涉及經 CryptoBilis 售出的裝置。公司表示尚未核實經其他渠道購買之裝置出現同類盜竊，惟正審視其他地點與裝置的植入報告。

Ledger 並未確認受影響用戶總數或被盜總額。CoinDesk 引述鏈上研究估算，逾三百個錢包損失最高約九千三百二十萬美元，並指 Tether 凍結與此次盜竊相關的約一千萬美元 USDT；Cointelegraph 另引述調查者 Specter 估逾八千六百萬美元、資安媒體 Yfarmx 估約一億零三百萬美元等說法。上述數字均非 Ledger 官方核實，報道時應分開表述。

CryptoBilis 為 Ledger 列於印尼、馬來西亞與菲律賓的授權經銷商。據報道，該商已停止銷售 Ledger 簽名器，並進一步暫停馬、菲、印三地所有硬件錢包品牌出貨，暫時關閉實體店，稱正與獨立專家檢視流程。Ledger 建議：經該渠道購入且尚未初始化者勿設定；已使用者應把資產遷至新裝置並以全新助記詞生成，切勿在受影響裝置上還原舊助記詞。

二、技術原理深度解析

硬件錢包安全模型通常假設：私鑰永不離開 Secure Element；用戶在可信屏幕上確認交易；廠商「Genuine Check」可驗證安全芯片真偽。今次案例說明第三層假設可被物理植入擊穿——只要 Secure Element 原件仍在，Genuine Check 仍可能通過，因為檢查對象並非「機殼內有否額外 LTE 模組」。

攻擊鏈可概括為：供應／渠道環節植入 → 用戶正常開箱初始化 → 助記詞在 OLED 顯示時被旁路讀取 → 蜂窩鏈路低互動外傳 → 攻擊者離線重建種子並抽空多鏈資產。這與遠端軟件漏洞、釣魚網站套取助記詞不同：用戶以為自己完成了「冷錢包標準流程」，實際上在第一次顯示種子時已洩密。

獨立分析與社群照片曾描述天線走線、縮小電池為植入騰位、螢幕泡棉下方模組等變體；Ledger 十月十三日更新的核心貢獻，是把「讀屏＋LTE／eSIM」寫成公司公開機制說明，供事件應變與採購盡職調查引用。Cointelegraph 亦指 Ledger 安全團隊 Donjon 持續檢測回收裝置，並與執法部門合作、聯絡受影響用戶。

四、日常應用場景

1. 開發者與技術團隊

建造自託管產品、兌換所充提指引或企業財資錢包流程時，應把「供應鏈與開箱驗證」寫進威脅模型：官方渠道清單、防偽與外觀檢查、初始化環境（無不明蜂窩訊號需求的裝置不應主動連網）、以及助記詞顯示期間的物理監控。若產品依賴第三方硬件簽名器，需準備渠道召回與用戶遷移話術，避免只依賴「芯片認證通過」一句話。

2. 企業與隱私敏感行業

家族辦公室、基金與持牌虛擬資產平台若允許員工或客戶使用消費級硬件錢包，應規定採購來源、封條與開箱錄影、雙人初始化，以及疑似渠道事件時的緊急遷倉 runbook。機構級託管與多重簽名方案並非「放棄自託管」，而是把單點硬件供應風險攤薄。

3. 一般用戶

只向官方或當前仍列名的授權渠道購買；開箱檢查封條、螺絲、重量與異常天線／排線。經 CryptoBilis 購入者：未初始化勿啟用；已啟用則視為助記詞可能已暴露，盡快以全新種子遷倉，並向 Ledger 支援與當地警方報案。Ledger 提醒不會主動致電索取二十四詞助記詞。任何要求「為了驗證請讀出助記詞」的來電或訊息，一律視為欺詐。

4. 香港與亞洲市場視角

香港用戶常經本地零售、機場免稅或東南亞旅行代購取得硬件錢包；今次事件顯示授權經銷商並非零風險，歐洲大型連鎖 MediaMarktSaturn 亦以「事態嚴重」為由全面下架 Ledger 貨品。Cointelegraph 引述用戶聲稱於不同 MediaMarkt 分店購入兩部裝置均見未授權線材與蜂窩模組，以及前 Mt. Gox 行政總裁 Mark Karpelès 聲稱於新加坡機場購入之 Ledger Flex 含植入——Ledger 公開回應仍指向 CryptoBilis 調查更新，未直接確認歐洲或新加坡個案。在官方未核實前，香港讀者應提高開箱警覺，而非假設「非東南亞渠道即安全」。

同業方面，Trezor 稱未接獲經 CryptoBilis 售出之 Trezor 遭篡改報告，亦無跡象顯示其產品受影響，但仍把 CryptoBilis 移出授權網絡；OneKey 同樣未見相關用戶損失，惟終止該商授權、暫停新經銷商引入，並為二零二六年三月一日至十月十二日期間經 CryptoBilis 購入 OneKey 的客戶提供免費換機（申請截至十二月三十一日）。供應鏈信任正在由「單一品牌認證」擴展為「全渠道連坐式風險管理」。

五、專業評價與潛在考量

優勢（就披露本身而言）

  • Ledger 把攻擊機制說清楚：讀屏、微控制器、LTE／eSIM，有助用戶與同業對症下藥。
  • 明確區分物理供應鏈攻擊與軟件／內部系統入侵，避免市場誤讀為「Ledger 雲端被入侵」。
  • 同業切斷經銷授權、零售商下架，顯示渠道治理可在數日內聯動。

需要留意的地方

  • 總損失與受影響數量仍未獲 Ledger 核實；傳媒引述之八千六百至約一億美元級估算屬第三方，不宜寫成定論。
  • Genuine Check 通過≠機殼無額外硬件；安全敘事需更新。
  • 歐洲與新加坡等地的用戶聲稱仍待廠商確認；過早斷言「已擴散至全球零售」或「僅限單一經銷商」皆不嚴謹。
  • 遷倉過程本身是釣魚高峰：假客服、假換機網站會趁機索取助記詞。

結語

十月十三日的更新，把 CryptoBilis 相關硬件錢包盜竊從「確認有植入」推進到「公開 LTE 讀屏外傳路徑」，並觸發歐洲大型零售下架與多家硬件錢包品牌切斷經銷授權。對香港讀者而言，啟示不是放棄自託管，而是把購買渠道、開箱檢查與助記詞顯示當下的物理環境，提升到與種子離線備份同等重要的位置。若企業需要在香港落地合規的鏈上產品、智能合約或節點維運，可參考 YSK Limited 的 Web3 區塊鏈開發服務（https://ysk.hk/services/web3-blockchain）；若團隊以瀏覽器靜態方式自行簽署鏈上操作、市場瀏覽無須把私鑰交給平台後端，亦可了解開源 YSK Mint v1.4.14（https://mint.ysk.hk/）。後續應緊貼 Ledger 對 CryptoBilis 以外渠道的核實結果，以及 MediaMarktSaturn 等零售商的復售條件。

參考來源

Related services & products

Related posts