硬件钱包厂商Ledger近日证实，由马来西亚零售商CryptoBilis经销的部分硬件钱包被植入了间谍芯片，导致客户钱包中的加密货币遭窃。Ledger已要求CryptoBilis停止销售相关产品。CryptoBilis是一家总部位于马来西亚、业务覆盖东南亚地区的大型硬件钱包零售商。

据Tibane Labs的安全研究人员分析，此次事件涉及被篡改的Ledger X钱包，其售价仅为原型号的一半。拆解发现，原装电池被替换为体积更小的电池，腾出的空间用于安装恶意电路。该电池同时为间谍芯片和Ledger X供电。恶意电路的核心是一颗基于Arm Cortex-M4架构的ST STM32G431KBU6芯片，配备128 KB闪存，采用UFQFPN32封装，位于电池和天线下方。攻击者还在微控制器单元旁边安装了一个微型eSIM，并通过屏蔽式LTE模块发送信号。

Tibane Labs进一步发现，攻击者使用了多个篡改版本。第二种被篡改的硬件钱包仍使用原装电池供电，间谍芯片则被安装在OLED显示屏下方原本用于放置泡沫衬垫的空间内。攻击者利用间谍芯片通过OCR技术读取硬件钱包屏幕上显示的字体，从而在受害者设置过程中窃取密钥。

此次事件凸显了硬件钱包供应链的安全风险。Ledger已要求CryptoBilis停止销售硬件钱包，但具体受影响的设备数量和用户损失情况尚未披露。