Ledger 被盜：一名詐騙者損失 60 顆比特幣

自食其果。 自 10 月 9 日以來，數百名被盜的 Ledger 擁有者發現他們的加密貨幣消失了。他們在東南亞購買的設備在出售前已被打開並被篡改。然而，受害者中卻有一名詐騙者。他剛剛將一場針對「報酬任務」的詐騙所得存放在三個新創建的地址上。結果：竊賊奪走了他超過 60 顆比特幣，約合 480 萬美元。同樣的襲擊也使與馬來西亞經銷商 CryptoBilis 相關的數百個錢包被清空。

Chainalysis 在週四下午晚些時候在 X 上發布了這一細節。幾個小時之前，Ledger 已經對這次攻擊給出了首次書面回應。該製造商還命令其經銷商將其設備從貨架上撤下。
本文的關鍵要點：

• 一名詐騙者成為被盜 Ledger 錢包的受害者，在一場複雜的洗錢行動中損失了超過 60 顆比特幣。
• Ledger 已在東南亞撤回其產品，揭示了一個高度組織的犯罪團夥，該團夥修改了真實設備以竊取資金。

Ledger 被盜：對於錯過開頭的人重溫事實

在 10 月 9 日星期五早上，同一名行為者在不到一小時內清空了六個區塊鏈上的錢包。受害者的共同點是：在 CryptoBilis 購買的 Ledger，該公司是印尼、馬來西亞和菲律賓的授權經銷商。次日，Ledger 確認在一名受害者的設備中發現了一個 硬體植入物。

該組件被植入在外殼中。它在錢包顯示 24 個恢復短語的時候讀取屏幕，然後通過內置的 SIM 卡將其通過移動網絡傳輸。擁有這 24 個短語，竊賊就不再需要 Ledger。他在其他地方重建錢包，並等待其擁有者將積蓄存入其中。

Chainalysis 和 Bitquery 追蹤被盜的 Ledger

這場報酬任務的詐騙模式在全球警方中是眾所周知的。首先，詐騙者招募小幫手。詐騙者支付他們模擬購買並發佈對真實產品的虛假評價。最初的收益出現，信任建立。然後，他們的賬戶上出現了 「負餘額」。為了解鎖他們的收入，受雇者必須先自掏腰包。你已經明白接下來會發生什麼。

在 9 月 22 日，這場詐騙的組織者將其收益轉移到 三個不同的 Ledger 地址，以將其戰利品置於安全之中。十七天後，即 10 月 9 日，竊賊在每個地址上進行了一次交易，清空了這三個地址。所有資金都進入了一個已被標記為被盜資金的錢包。
「Ledger 被盜的最大受害者之一本身就是一名詐騙者」，Chainalysis 在 X 上總結道。這段時間不言自明。植入物在設備配置時捕獲了 24 個短語，然後竊賊等到了那一天，將所有東西一次性搶走。

Bitquery 追蹤被盜 Ledger 的竊賊

該分析公司在週四並未驚醒。自 10 月 9 日以來，Chainalysis 宣布正在調查 一場複雜的跨鏈洗錢行動。詐騙者的案例是第一個公開的案例。但另一家鏈上分析公司 Bitquery 提供了最完整的搶劫解剖。其分析師從 10 月 9 日由研究人員 tanuki42 和 Specter 公布的十個地址開始。然後，他們追蹤了在六個區塊鏈上被清空的每個錢包，並進行了獨立的第二次計算以核實數字。

在比特幣上，詐騙者的 60 顆 BTC 加入了同一天在 122 個錢包上搶走的 203.8 顆比特幣，主要集中在 5 時 54 分 UTC 的一個區塊中。也就是說，對於一個人來說，幾乎占當天被盜比特幣的 30%。

Bitquery 的報告也解決了一個問題：只有 一名竊賊，他已經擁有所有的密鑰。在 Tron 上，25 個錢包在三秒內簽署了相同的授權。八分鐘前，另外 30 個錢包的控制權轉移到了未知的密鑰上。人類不會這樣做。然而，擁有所有恢復短語的軟體可以做到。事實上，這名竊賊在行動前已經訓練了兩週，進行了一些小額測試轉帳。

另一個教訓是：十個受害者中有六個在 Ledger 提到的 90 天窗口內收到了他們的第一筆資金。但超過八成的受害者是在六月之後才收到的。因此，風險可能早於官方指示。

被盜的 Ledger 戶頭的贓物經過 Tornado Cash 和 Zcash

Chainalysis 提到的「跨鏈洗錢」在 Bitquery 的數據中清晰可見。在幾小時內，竊賊將約 7900 萬美元的 USDT 洗劫後分散。首先，他通過 USDT0 橋將 2000 萬美元轉移到以太坊，然後將其轉換為以太幣。接著，他將 2370 萬美元兌換成 USDD，這是一種 Tether 無法凍結的穩定幣。最後，他將剩餘的資金分散到 Relay、Chainflip 或 THORChain 等即時交易服務中。

接下來是洗錢。從 10 月 9 日到 13 日，約 7260 ETH 進入了 Tornado Cash 混合器。從中出來的大部分資金隨後經過 Zcash，然後再回到新的地址以 USDC 或 ETH 的形式。到 10 月 15 日，Bitquery 仍然能夠在鏈上定位到 8400 萬美元。而 203.8 BTC 自 10 月 9 日以來沒有動過一個 satoshi。

這個孤立的案例在被盜 Ledger 的總體損失中影響不大。Bitquery 現在記錄到 1.02 億美元 被 siphoned 自 324 個錢包和六個區塊鏈。這一數字在 10 月 15 日經過核實，但 Ledger 既未確認也未否認。此外，Tether 也凍結了 1000 萬美元的 USDT 與此調查有關。但這名騙子的特徵與其他受害者相符：他們是東南亞的大額持有者，正好購買了一個硬體錢包來保護他們的資金。

Ledger 將其錢包撤出市場並描述了一個花費數百萬的犯罪團夥

Ledger 的版本於 10 月 15 日發布，距離製造商揭示其 Ledger Atom 的 Op3n 主題演講僅幾小時。該文本提到了一個 「高度組織的犯罪集團」。這個集團在長達數月的時間裡購買了真實設備，並將其打開以安裝定制的組件。他們的角色是捕獲設置時的恢復短語。然後，他們通過東南亞的經銷商將這些設備重新注入市場。該團夥建立了 「自己的種子收集伺服器、清洗和洗錢基礎設施」。在一次協調的行動中，他們 「花費了數百萬」。

Ledger 強調了未被攻擊的部分。芯片、操作系統和伺服器保持完好。 「這不是對供應鏈的系統性攻擊，而是對分發的局部攻擊」，該公司在其公告中寫道。其實驗室被稱為「地牢」，已經拆解了這個植入物。隨後，團隊在商店中購買並打開設備，尤其是在德國，然後檢查倉庫中的樣本。一切都很乾淨。

Ledger 對經銷商的新規則

Ledger 立即停止在其授權經銷商的東南亞和香港的銷售。禁止轉售任何退回的設備，即使是密封的。從現在開始，任何 Ledger 產品都不得在貨架或櫥窗中擱置。庫存保持在儲備中，賣家僅在購買時將其交給客戶。Ledger 還要求其經銷商立即報告任何買家認為不尋常的產品。最後，製造商邀請<<整個行業也這樣做>>。Trezor 和 OneKey 上週已經宣布減少其經銷商網絡。

Ledger 也承諾在<<產品層面>>採取對策。當天推出的 Ledger Atom 價格為 849 歐元，已經能夠檢測到其外殼的打開和屏幕的移除。但它將在 2027 年夏季才會上市。現有的 Nano X、Flex 或 Stax 將無法受益於此。對於這些設備，過去十天的指示仍然是：在未經檢查的情況下，請勿配置在過去 90 天內從 CryptoBilis 購買的設備。