鏈上追蹤：Ledger 供應鏈攻擊事件被盜資金流向分析

10月9-10日，Ledger 硬體錢包發生重大供應鏈安全事件，攻擊者通過篡改設備硬體（疑似植入帶 SIM 卡的間諜模塊）竊取用戶助記詞，造成超 8600 萬美元損失，受害者地址主要關聯到東南亞 Ledger 授權經銷商 CryptoBilis 的買家。Beosin對此次事件的主要被盜資金流向進行了分析，結果如下。

本次事件時間線

9月16日，Mt. Gox 前CEO Mark Karpelès 發文表示有Ledger Nano X錢包被植入了間諜模塊。

https://x.com/MagicalTux/status/2100131628815405511

10月8日，Mark Karpelès 繼續發布帖文展示植入細節，表示如果從不正規的商家渠道購買Ledger錢包，錢包可能會被植入間諜晶片用於監控屏幕和外傳助記詞。

https://x.com/MagicalTux/status/2108095743525625998

上述帖子獲得了大量曝光，Ledger硬體錢包被賣家植入惡意模塊再出售的問題被越來越多加密社區知曉。

10月9-10日，大量Ledger錢包被轉移歸集資金，損失資產類別跨Ethereum、Tron、Bitcoin、Solana等鏈。隨後Ledger官方發文表示正調查東南亞用戶從 CryptoBillis 購買後資金丟失情況，要求經銷商暫停所有銷售與發貨。

https://x.com/Ledger_Support/status/2108551100613714002

此次攻擊能夠成功的主要原因在於雖然Ledger 的安全元件（Secure Element）能保護私鑰不被直接讀取，但它無法阻止外圍硬體截取屏幕顯示的內容；而且被篡改的設備能夠通過 Ledger 官方的 Genuine Check 驗證，因為攻擊者沒有改動原有的安全晶片，驗證系統無法檢測外圍的物理改動。

被盜資金流向分析

據公開情報顯示，受害者地址已有數百個，並且還在持續增加。Beosin通過鏈上追蹤調查平台Beosin Trace對當前被盜的主要資金流向（共計約4300萬美元）進行了分析：

Ethereum

攻擊者資金歸集地址

- 0x69c8f401cfc6cd40ac94691d6d7c48e3b7a47841

- 0x033636e45d519bebb7b5c2520ca6ce56fbdb4f7a

- 0x83aeac166f6832ae3500000a24510a95a052a599

其中0x033636e45d519bebb7b5c2520ca6ce56fbdb4f7a歸集了1,026.9 ETH （價值約257.4萬美元），0x83aeac166f6832ae3500000a24510a95a052a599歸集了700 ETH（價值約175.4萬美元），以上資金還未做進一步的轉移。

地址0x69c8f401cfc6cd40ac94691d6d7c48e3b7a47841歸集了1141.5 ETH（價值約285.5萬美元），其中441.5 ETH已轉移，並分批轉入Tornado Cash進行混幣。截至發文，共計411.5 ETH被轉入Tornado Cash。資金流向圖如下所示：

Tron

攻擊者資金歸集地址

- TK6DWNpNe1w2iJRNFpU8aHdrPTATxvXT6C

- TBkcUMYC7CkTK99tkTnaStQVBastfrs9d9

- TCGE3xp6YGRKXxDZiLfysgJW3f22KfMNsW

- TSDWtuZ2pARUVz4v3PkL2hi3iXPjowAr5a

Tron鏈上被盜的資產為TRX和USDT，其中USDT已被Tether成功凍結約934.7萬美元。地址TK6DWNpNe1w2iJRNFpU8aHdrPTATxvXT6C歸集的USDT中，總共500萬USDT被攻擊者兌換成USDD，成功逃脫了Tether的凍結行動：

地址TSDWtuZ2pARUVz4v3PkL2hi3iXPjowAr5a歸集的615萬USDT，其中400萬USDT經過一系列轉移，也通過USDD-USDT PSM和SunSwap兌換成了USDD以躲避凍結，其餘資金通過Near Intents、Bridgers等跨鏈協議進一步轉移。而盜取的TRX（價值約22.3萬美元）也是全部兌換成了USDD。

Tron鏈被盜資金流向圖如下所示：

其洗錢路徑與此前Beosin在分析新幣擔保資金轉移的路徑類似，為了躲避Tether的凍結，Tron生態的非法資金往往會選擇Tron鏈的DeFi協議（如USDD[io]、SunSwap、Justlend）和去中心化穩定幣USDD進行資金清洗。詳細可閱讀：

制裁陰影下的鏈上逃逸：新幣擔保資金遷移路徑分析

Bitcoin

攻擊者地址bc1qjqgwejnp8dc0x2938x9n9954hj97t82unx49dl歸集了92.5 BTC（價值約767.3萬美元），截至目前未有進一步轉移。

地址bc1qqnkwurxs99xkx5t4yffqhq3u6qwy0qpjyujtm9歸集了111.28 BTC（價值約923.1萬美元），截至目前未有進一步轉移。

而地址bc1qgqheemzla77pesl227hdtgf5ykz62d0zvld26n歸集了9.96 BTC，攻擊者開始分散轉移這一部分資金，目前約3.52 BTC通過Near Intents完成跨鏈隱私交易。

目前，所有相關地址已被Beosin標記並被持續監測。Beosin KYT和Trace將繼續監控相關駭客地址的活動並追蹤資金流向。

此前，Ledger已經歷過一次軟體供應鏈攻擊，攻擊者通過釣魚獲得其前員工的Github帳戶權限，而Ledger並未取消該員工的代碼訪問權限，隨後攻擊者發布了惡意版本的 Connect Kit 庫，誘導用戶簽署了盜幣交易。而本次事件是硬體層面的供應鏈攻擊，再次揭示了一個根本性的安全難題：硬體錢包的安全不僅取決於設備本身的晶片和用戶操作，還取決於設備在所有環節的供應鏈是否安全、可信。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。