北京
一台从马来西亚寄来的 Ledger Nano X，外包装热缩膜完好无损。拆开后，屏幕缓冲的位置多了一块不该存在的电路板。
这块板子上有微控制器、LTE 通信模块、天线和 eSIM，通过内部线路接到了设备显示相关的 SPI 通信链路上。前门头沟（Mt.Gox）负责人马克・卡佩莱斯（Mark Karpelès）发布的这组硬件拆解图，成了整起事件的导火索。
助记词是怎么被读走的
Ledger 设备首次初始化时，会在屏幕上显示 24 个助记词。正常情况下，这些词由设备内部生成并显示，安全元件负责保存私钥和执行关键操作。
改装的思路是监听设备向屏幕发送的字符数据，再用针对 Ledger 字体训练的识别逻辑重建屏幕内容。如果攻击者能在屏幕链路旁路读取这些词语，再通过蜂窝网络发出去，用户完成初始化后，完整助记词就已经到了对方手里。
后续流程中，黑客不需要再接触钱包。用其他兼容钱包恢复这组助记词，就能控制对应地址里的资产。目前被盗取的加密货币价值超过 8,000 万美元，随着时间推移，可能会有更多用户的钱包被重置并转走资产。
经销商被收购，保密期至少6个月
CryptoBilis 是 Ledger 在东南亚区域的授权经销商。很多用户并非直接从 Ledger 订购设备，因为要从法国工厂走法国邮政发货，时间很长。
这家经销商早在 3 月份就已经被秘密收购，收购协议还要求对收购事件保密至少 6 个月。从时间线看，这不是临时起意。
有能力大规模定制微电路板、微控制器并进行改装，显然不是普通人能做到的。目前猜测收购 CryptoBilis 的是朝鲜黑客，不过行业还在继续调查，暂时无法确认黑客身份。
马克发现这件事后，黑客似乎判断改装事件肯定会引起关注，于是选择立即盗取已经成功收集的钱包。如果不是这次拆解，攻击可能还会继续潜伏，收集更多钱包数据。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
