Ledger硬件钱包事件 | 悄然伸向Web3圈的黑手

全频带阻塞干扰 · 2026-10-14 09:49 · 31 阅读

原创请杨叔吃日料 2026-10-14 09:49 陕西

又到了收获的季节，豺狼们都已做好准备......你呢？做好准备了吗？

篇首语：“Ledger硬件钱包事件”刚有苗头，就被COS私信了，虽然当时简单回复了些意见，比如信号侦测和X光探测，但由于一直在路上，直到昨晚才有时间，从TSCM的角度做个分析，供Web3圈的朋友们参考。

有些事情，其实早有苗头，只是大家都觉得不太可能，一直在选择性忽视罢了~就比如今天刚爆出来的，OpenAI高管会议室里出现窃听器，呵呵，在这之前，谁会认为有这样的风险呢？

注：以下内容部分符合OSINT国际开源情报搜集标准，其余均为杨叔个人见解，仅供交流与参考。

01 Ledger硬件钱包事件回顾

这两天，由于几篇推文，直接引爆了Web3圈：

有人宣称在Ledger硬件钱包里，发现了异常的LTE模块和天线。如下图所示：

紧接着，又有人补刀，说在新加坡销售的更多设备都发现存在非法监视器材：

于是，更多的人开始加入，有人还翻出了早期的帖子，来对硬件钱包里的电路和结构进行佐证：

但遗憾的是，虽然说Ledger已迅速开始了调查，对于这件事属于面向整个供应链攻击所致，还是少数人的针对性攻击并没有定性，并要求CrytoBilis暂停所有Ledger设备的销售和运输，但是不信任的种子已经种下，新一轮的客户损失已显而易见：

其实，针对Web3圈层的攻击行为一直在进行，可以说从未停止，今年4月，杨叔在Slowmist组织的香港「HackingTime活动」上，专门分享了针对Web3人士的系列恶性案件~

但很遗憾，似乎现场广大的Web3圈玩家们，真正上心的人并不多。

就像杨叔在本文开头说的那句话：都觉得离自己很远，不太可能......直到今天

02 来自iPhone的同类型案例

提到供应链攻击，那个“以色列摩萨德通过改装BB机实现定点暗杀的事件”就不用杨叔再复盘了，大家都知道。当然，直到现在，依然还有很多人觉得供应链攻击离自己很远，直到本次“Ledger硬件钱包事件”出现。

其实早在今年5月，杨叔发过一篇贴图快文：

最新，多起iPhone手机遭专业窃听案例曝光

在文中还专门附上了最新发现被植入窃听器材的iPhone手机图片。估计很多人看过，但是只是当做看故事一样，看过就抛之脑后了。

文中曾表述：通过技术分析，发现手机的原装电池已被替换，被增加了一个额外的模组，该模组包含：

• 微型麦克风
• SIM卡；
• Wi-Fi 模块
• 内置存储

这类窃听模组使攻击者能够轻易地实现：

• 监听通话，包括即时通讯软件中的对话
• 录制手机周围的环境音频
• 即使手机未处于使用状态，也能收集周边信息
• 可以随时定位机主的真实位置

为了更好地说明，杨叔调用两页「PPES-201_智能手机隐私保护实践指南」课程的PPT，大家可以放大查阅。

看到这里，大家都发现了吗？

一样的手法，一样的思路，所谓“Ledger硬件钱包事件”里出现的改装行为，本质上就是一次被恶意植入窃听模块的技术窃密行为。

先不提是不是属于针对性的供应链攻击，但这个明确的改装监视风险，可以说已经在今年5月份出现过了，已经有“行业风险示警”！但却没几个人关注？

虽然RC²已通过「TSCM行业定制威胁情报」，及时向企业客户做了提前预警，并建议企业高管对所有私密类电子设备开展TSCM检测工作，并且在这些年的公开课、认证课反复强调要重视高管个人电子设备的安全。

但，很可惜，对于很多人而言，

除非鞭子打在自己身上，否则很难感受到疼痛。

关于供应链安全，请参考这篇软文：

PSTI 物理安全威胁情报 | 2022.01 •企业供应链物理渗透及泄密威胁

03 信号侦测，能不能发现问题？

好了，既然事情已经发生，我们关注下如何发现“数字钱包”之类私密产品被改装。

杨叔看到网上已经有了很多建议，很多都是可行的，但可能细节上需要调整。接下来为大家逐个解读下：

方法1：信号侦测

这确实是个办法，但可能实际效果和你想的不一样。

为什么这么说？

首先，确实，如果有人在“加密硬件钱包”之类设备里恶意安装了非法SIM卡或者WiFi模块，那么在这个模块工作时，一定会有异常的无线信号出现，这个时候，使用信号侦测设备是可以发现的，杨叔看到网上还有人推荐使用网店售卖的各类民用信号检测设备，有的确实勉强可用（猜猜为什么说勉强可用？）。

但是，就像主席说过“在战略上藐视敌人，在战术上要重视敌人”，同样地，身为安全从业者，在任何时候都不要轻视攻击者，比如在这个案例中，我们就绝不能把植入监听器材的人或组织想成“白痴”或“新手”，这么“明显”的被检测到的可能性，难道阴险的幕后黑手没有考虑到？

咳咳，这就涉及到关于目前国际上最新“专业级隐蔽监视器材”的一些设计（虽然有些已经应用了很多年，但依然很多人不知道），比如：

• 高级功能1：支持对信号发射的时段进行设置
• 高级功能2：支持对信号发射的途径进行设置
......其它略

简答解释下，功能1就是说这类隐蔽监视模块，它可以设置为：在一周时间内一直悄悄录音，直到周六凌晨3点，才把录好的音频压缩，通过4G或WiFi传输到外部。

看到了吧，这就是你用无线信号侦测设备，很可能没用的原因，因为那些窃听模块在你检测信号的时候，压根不工作！！所以就没！有！信！号！但你会误以为这个加密设备是安全的！......结果，继续中招~

而功能2的意思是，因为模块内置了SIM卡和WiFi芯片，所以它可以随机使用不同的信号传输方式，可以今天使用4G，也可以明天走WiFi，甚至蓝牙、ZigBee等等，你在网店里买的那个民用信号探测器，很可能会因为超出其实际检测能力而无法检测到信号！！

呐，下图取自RC²的「PPES-X物理安全检测专家认证课」中的“全球窃密器材发展趋势”PPT，了解各类国际最新器材情报是成为TSCM专家的必修内容之一

04 X光透检，可不可以解决问题

方法2：X光透检

答案是肯定的，X光透检可以解决。

在实际检测中，便携式X光透检设备的用处相当大，可以协助TSCM专家们快速分析识别出某些电子设备内是否有可疑的模块，而无需直接拆机。

但是，除了设备昂贵之外，使用X光透检设备还存在以下几个问题：

• 问题1：未经过训练，是很难识别电器内部电路是否有问题的。
• 问题2：使用X光透检设备对供应链物品进行全面透视检测，会耗费巨大成本。

根据RC²在过去十年的授课经验，无论企业课程学员还是L2学员，很多人对于X光机下观察电路的复杂性没有概念。为了更好地说明，杨叔引用几个课程实验图片。

如下图所示，是一个桌面摆件--小邮筒外型音乐盒的X光透检图。

看出来了吗？上图在邮筒底部，有个方块状的物品就是无线电发射器，那根明显的天线直接暴露了它。

觉得简单吗？那请在下图中，判断下这款收音机有没有问题？欢迎把分析发到本文留言里~

是不是开始觉得电路复杂了，不好识别？是啊，这就是真实检测时会遇到的情况，现场会有很多更复杂的电路，如果没拆过大量的电子设备，就很难有经验快速判断。

所以，对于下面这张来自网上的截图，对于绝大多数人而言，你确定真的能识别出这上面被做手脚的电路吗？

而且，对于企业使用X光透检设备对供应链物品进行全面透视检测，可能会耗费巨大的成本，估计对于有些人而言，这个可能会更无法接受。

05 防范建议

不要恐慌，因为这显然只是一个开始，后面类似的风险只会越来越多。谁说目前只有这一家硬件钱包被盯上呢？

所以恐慌是无用的，学习如何检测规避风险，扩充个人安全技能树，才是应对更多风险的最佳实践。杨叔建议如下：

对于企业，尤其是相关行业，首先要加强对防范商业窃密的重视，加大高管的专项培训力度；其次，对重要部门或团队使用的同一批次敏感设备（无论是硬件钱包，还是电子令牌之类），建议进行抽样拆开检测最直接。在预算充足的情况下，便携式X光设备会是一个好选择。

对于个人，信号检测或许有用，可以备一个，但如果需要快速检测，使用紫外线灯来查看以下这些“蛛丝马迹”，也许会事半功倍：

• 设备的边缘和接口是否严丝合缝
• 设备外壳上是否有明显拆开痕迹

当然，如果想自行拆开设备检查，那么可以参考本文前面的PPT，建议主要检查以下几个部分：

• 是否有Nano SIM卡插槽？
• 是否电池少了一截，即比其他电池要小一点？
• 是否有可疑的独立小黑色方块，但有电线连在电池上？
• 是否有暗线或疑似天线的短线？
• 是否有额外的Wifi芯片，比如芯片上有类似Broadcom这样的标识？
• 如果对芯片不确定，就直接上网查下这个名称来确认
• 如果芯片表面被磨掉，那存在风险的概率就相当大了
......