Mt.Gox前首席执行官：Ledger间谍芯片事件强化了加密货币“不要信任，要验证”的理念

Ledger 官方表示，其东南亚授权经销商 CryptoBilis 负责销售的部分设备在物流流通过程中遭到恶意植入微控制器。Mt.Gox 前首席执行官马克·卡佩勒斯（Mark Karpelès）在 X 发文指出，这起事件强化了他长期以来的核心主张：“不要信任，要验证”的核心精神不应仅停留在开源软件与密码学层面，更须延伸至保管私钥的实体设备。

CryptoBilis 设备植入攻击：微控制器即时拦截助记词

Ledger 官方表示，攻击源于东南亚授权经销商 CryptoBilis 的物流流通环节，植入攻击的完整流程如下：

拦截时机：用户进行设备初始设置、屏幕显示 24 个单词助记词的瞬间

植入组件：攻击者预先在设备内植入微控制器

攻击行为：微控制器即时拦截并解码屏幕上的助记词

外传路径：通过设备内置的 eSIM 模块，经由 LTE 移动网络将助记词回传给攻击者

未受影响范围：安全元件（Secure Element）、操作系统及签名机制均未遭破坏，属于纯粹的物理终端设备改装

Ledger CTO：安全元件及操作系统未受破坏，全面审查经销商管控与防拆保护

Ledger 首席技术官夏尔·吉耶梅（Charles Guillemet）回应表示，公司正全面审查全球经销商管控与防拆保护机制，并积极与外部独立网络安全专家合作，以强化安全标准。链上独立研究人员估计，潜在资产损失最高达 9,320 万美元，波及超过 300 个钱包；Ledger 官方尚未公布确切受害总额。

卡佩勒斯：设备易于拆解加速发现恶意植入，呼吁用户具备自主验证硬件的防御意识

卡佩勒斯在 X 平台指出，Ledger 设备相对容易拆开，正是本次恶意植入物得以被网络安全社群迅速发现的主因；他认为，只要不妨碍独立检查，防拆设计就是合理的，不应以保护为由阻止用户自行验证。他直言，没有任何硬件钱包能对物理供应链攻击完全免疫，实体拆解也无法保证百分之百安全，但用户绝不能完全盲目依赖制造商或经销商的单方面承诺。

他亲自拆解了一台可疑的 CryptoBilis 流通设备，并在其中发现了植入的间谍硬件。

Coldcard 8 月修复随机数漏洞，估计损失约 1.5 亿美元

加拿大冷钱包品牌 Coldcard 的开发商 Coinkite 今年 8 月修复了一项严重的助记词生成漏洞：旧版固件随机数质量不足，导致助记词缺乏随机性；用户即使升级固件，仍须重建新钱包并转移资产，累计损失估计约 1.5 亿美元。网络安全专家分析，冷钱包安全建立在私钥生成机制、开源固件架构与随机数质量等基石之上。

相较于 Ledger 事件发生在实体设备流通环节，Coldcard 事件则属于私钥底层算法生成层面，两起事件分别指向硬件安全链条中的不同脆弱点。

常见问题

Ledger CryptoBilis 设备中的间谍芯片如何拦截助记词？

根据 Ledger 官方声明，攻击者在设备内植入微控制器，在用户进行初始设置、屏幕显示 24 个助记词的瞬间即时拦截并解码，然后通过设备内置的 eSIM 模块，经由 LTE 网络将助记词外传给攻击者；安全元件、操作系统及签名机制均未受破坏。

链上研究估计 Ledger 事件的潜在资产损失是多少？

链上独立研究人员估计，潜在资产损失最高达 9,320 万美元（约新台币 30 亿元），波及超过 300 个钱包；Ledger 官方尚未公布确切受害总额。

Mt.Gox 前首席执行官卡佩勒斯对 Ledger 事件的核心立场是什么？

卡佩勒斯在 X 平台表示，这起事件并未动摇他对 Ledger 技术的信任，反而强化了他的核心主张：“不要信任，要验证”的原则应延伸至用于实体保管私钥的设备。用户应具备自主拆解并验证硬件设备的能力，不能完全依赖制造商或经销商的单方面承诺。