新加坡警方：零售店买到的 Ledger 被植入恶意硬件

10 月 28 日，新加坡警方发布警示：自 9 月 10 日以来至少 2 起案件，受害人从新加坡部分零售店买到的 Ledger 硬件钱包内含恶意硬件组件，可截获助记词或私钥，损失合计约 350 万新元（约 270 万美元）。警方表示已与 Ledger 联系，调查仍在进行。

本月早些时候，Ledger 已确认马来西亚经销商 CryptoBilis 售出的设备中有未经授权的植入物，要求该经销商停售，随后要求东南亚和香港的经销商暂停销售。Ledger 表示安全芯片和固件未被改动，官方验真检测不出这类额外加装的硬件。第三方链上估算相关损失超过 8600 万美元，Ledger 尚未完全确认；据链上追踪，10 月 29 日相关地址仍在向混币器转入数千枚 ETH。

对小团队来说，风险在这几处

可以马上做的 4 件事

• 盘点所有签名设备的购买渠道、日期和序列号；凡不是厂商官网直发的，先停止签名，用官网直购的新设备生成新助记词并迁移资产
• 写一条采购规定：签名设备只从厂商官网下单、直接寄给签名人本人；到货检查包装和外壳，有疑点不通电，交安全负责人处理
• 多签签名人的设备分批、分渠道采购，条件允许时混用不同品牌，避免一个渠道出事拖垮整个门限
• 给所有签名地址和金库地址加链上监控，异常转出即时告警，并提前写好「设备疑似被植入」时的迁移步骤

案件数量和损失金额来自新加坡警方通报；Ledger 的确认与暂停销售来自 Ledger 官方声明；第三方损失估算 Ledger 尚未完全确认。零售店名称未经官方确认，本文不写。本文不涉及植入物的技术细节。