假冒的Ledger Nano S+在20条链上窃取钱包

一位总部位于巴西的安全研究员揭露了一起使用恶意固件和假应用程序的假冒Ledger Nano S+操作，试图从20个区块链中盗取钱包资金。

一位总部位于巴西的安全研究员揭露了有史以来记录在案的最复杂的假冒Ledger Nano S+操作之一。该假设备来自中国的在线市场，携带了定制的恶意固件以及克隆的应用程序。攻击者立刻窃取了用户输入的每一个种子短语。

研究员出于对价格异常的怀疑购买了这台设备。打开之后，假冒本质立刻显而易见。他并没有丢弃，而是进行了完整拆解。

芯片内部隐藏了什么

正品Ledger Nano S+使用ST33 Secure Element（安全元件）芯片。而这台设备用的是ESP32-S3。芯片标记被物理打磨掉，以阻止识别。固件将自己标识为“Ledger Nano S+ V2.1”——这是一个并不存在的版本。

调查人员在进行内存转储后发现：种子短语和PIN码以明文形式存储。固件会向kkkhhhnnn[.]com的指挥与控制服务器发送信标。任何在这类硬件上输入的种子短语都会被立刻外传。

该设备支持大约20种区块链，用于进行钱包清空。这绝不是小规模操作。

五个攻击向量，而非一个

卖家将一个经过修改的“Ledger Live”应用与设备捆绑销售。开发者使用React Native并搭配Hermes v96构建了该应用，并使用Android Debug certificate对其进行了签名。攻击者并没有费心获取合法签名。

该应用会挂接到XState，以拦截APDU命令。它使用隐蔽的XHR请求在静默状态下拉取数据。调查人员还识别出了两个额外的指挥与控制服务器：s6s7smdxyzbsd7d7nsrx[.]icu和ysknfr[.]cn。

这不仅限于Android。相同的操作还为Windows分发一个.EXE，为macOS分发一个.DMG，形态上类似Moonlock在AMOS/JandiInstaller名下追踪的活动。此外，还流传着一个iOS TestFlight版本，能够完全绕过App Store审核——这是一种此前与CryptoRom骗局有关联的策略。总计五个向量：硬件、Android、Windows、macOS、iOS。

无法让“真品校验”在这里拯救你

Ledger的官方指引证实：真品设备在制造过程中会设置一个秘密的加密密钥。Ledger Wallet中的Ledger Genuine Check会在每次设备连接时验证该密钥。根据Ledger的支持文档，只有真品设备才能通过这项校验。

问题很直接。制造环节遭到破坏后，任何软件校验都将失效。恶意固件会模拟足够多的预期行为，使其能够顺利通过基础检查。研究人员在拆解中直接证实了这一点。

针对Ledger用户的过去供应链攻击反复表明，仅靠包装层面的验证是不够的。在BitcoinTalk上有记录的案例显示，个别用户从第三方市场购买的假硬件钱包中损失了超过$200,000。

这些设备正在何处被售卖

第三方市场是主要分发渠道。研究员在Reddit的r/ledgerwallet帖子中指出，Amazon的第三方卖家、eBay、Mercado Livre、JD以及AliExpress都曾被记录过上架受损（被篡改）的硬件钱包。

价格点被刻意做得十分可疑。这就是诱饵。非官方来源不会以“打折促销”的形式把Ledger当作好交易出售——它是把受损产品卖给你，以便让攻击者获利。

Ledger的官方渠道只有其自有电商网站Ledger.com，以及覆盖18个国家的已验证Amazon商店。除此之外，任何地方都没有任何真实性保证。

研究员接下来在做什么

团队已为Ledger的Donjon团队及其钓鱼奖励计划准备了一份全面的技术报告，并且将在Ledger完成其内部分析后发布完整稿。

研究员已通过私信向其他安全专业人士提供了IOCs（指示指标）。任何从可疑来源购买过设备的人都可以联系他们，以获取识别方面的帮助。

关键的危险信号依旧很简单。设备随附的预生成种子短语是骗局。要求用户在应用中输入种子短语的文档也是骗局。无论是哪一种情况，都应立即销毁该设备。