Ledger 新資安漏洞並未竊取你的加密貨幣,但卻洩露了導致暴力犯罪找上門的資訊

Ledger 客戶在 1 月 5 日醒來後收到了一封沒人想看到的電子郵件:他們的姓名和聯絡資訊因第三方支付處理商 Global-e 的資料外洩而曝光。

該公司澄清了哪些資訊未遭洩露:沒有支付卡、沒有密碼,最重要的是,沒有 24 字助記詞。硬體設備未受影響,韌體安全無虞,種子儲存完好無損。

對於資料外洩事件而言,這已是最好的情況。但在加密貨幣領域,洩露的配送標籤可能是網路釣魚漏斗的第一步,或在罕見的最壞情況下,成為登門造訪的線索。

真正的漏洞不在錢包

BleepingComputer 報導稱,攻擊者從 Global-e 的雲端系統存取了購物者訂單資料,複製了姓名、郵寄地址、電子郵件、電話號碼和訂單詳情。

這是一次「商務堆疊外洩」,沒有觸及任何加密金鑰,沒有設備被植入後門,也沒有任何漏洞攻破 Ledger 的安全元件。

攻擊者獲得的是更實用的資訊:一份新鮮、高品質的已確認硬體錢包持有者聯絡清單,包含住家配送地址。

對於網路釣魚操作者來說,這是基礎設施等級的目標鎖定資料。硬體錢包完成了它的工作,但周圍的商業體系為攻擊者提供了他們所需的一切。

Ledger 之前經歷過這種情況。2020 年 6 月,一名攻擊者利用配置錯誤的 API 金鑰存取了該公司的電子商務資料庫。100 萬個電子郵件地址遭到曝光,其中 272,000 筆記錄包含完整姓名、郵寄地址和電話號碼。

Bitdefense 將其描述為「詐騙者的黃金機會」。

這些攻擊毫不隱晦。偽造的外洩通知敦促使用者在複製的網站上「驗證」助記詞,而詐欺性的 Ledger Live 更新則傳送憑證竊取程式。

一些勒索電子郵件威脅入室搶劫,由於攻擊者掌握了受害者的地址並確認了錢包購買記錄,這些威脅變得可信。

永不過期的資料集

加密貨幣領域的個人身份資訊 (PII) 洩露具有不尋常的持久性。

2020 年的 Ledger 清單並未過時。2021 年,犯罪分子將實體篡改過的「替換」設備郵寄到洩露資料中的地址。這些附有假信頭的收縮包裝包裹指示受害者在經過修改的硬體上輸入助記詞,該硬體被設計用於竊取種子。

到 2024 年 12 月,BleepingComputer 記錄了一項新的網路釣魚活動,使用「安全警報:資料外洩可能暴露您的助記詞」作為主旨。

此外,MetaMask 的 2025 年威脅報告指出,實體信件透過郵政郵件發送給 2020 年的受害者,信件使用假冒的 Ledger 信紙,將他們導向詐欺性支援專線。

該資料集成為永久性存在,在電子郵件、簡訊和傳統郵件中循環使用。

Global-e 外洩事件為攻擊者提供了同一武器的新版本。Ledger 的警告明確預見了這一點:預期會有利用此次洩露的網路釣魚,驗證所有網域,忽略緊急提示,絕不分享您的 24 字助記詞。

當網路釣魚升級為實體威脅

2020 年的洩露從未攻破任何 Ledger 設備,但它使將客戶清單視為嚴重犯罪輸入資料變得正常化。Bitdefender 注意到勒索電子郵件使用洩露的地址威脅入室搶劫。Ledger 在前兩個月內移除了 171 個網路釣魚網站。

報告記錄了在法國、美國、英國和加拿大,旨在竊取私鑰的實體搶劫、入室搶劫和綁架案件不斷升級。

一起法國事件涉及 2025 年 1 月綁架 Ledger 聯合創始人 David Balland 及其伴侶,期間攻擊者在索要贖金時切斷了一根手指。

先前的 Ledger 洩露事件引發了扳手攻擊,報告指出,針對加密貨幣高管的暴力攻擊激增與 Ledger、Kroll 和 Coinbase 的外洩事件相關,這些外洩事件暴露了高淨值使用者的詳細資訊。

犯罪分子將洩露的資料庫與公共記錄拼接在一起,以建立目標檔案並定位目標。

TRM Labs 證實了這一機制:在線收集的個人資訊,例如地址和家庭詳情,簡化了入室搶劫受害者的檔案建立,即使錢包技術仍未受損。

執法部門現在將加密貨幣特定的 PII 洩露視為暴力勒索的要素。

如何應對生態系統問題

Ledger 並非唯一受害者。當 Kroll 在 2023 年 8 月遭到外洩時,FTX、BlockFi 和 Genesis 債權人的資料被存取。

訴訟指控處理不當導致每天都有冒充索賠入口網站的網路釣魚電子郵件。

模式是一致的:第三方供應商持有「非敏感」資料,當與加密資產所有權相關聯時,這些資料就變得敏感。配送地址只是元資料,直到與硬體錢包訂單相關聯。

由商戶平台、CRM 和配送整合組成的商務層,建立了誰擁有什麼以及在哪裡找到他們的地圖。

Ledger 的建議是合理的:驗證網域,忽略緊急情況,絕不分享您的種子。然而,安全研究人員建議擴展這一點。

擁有高價值資產的使用者應考慮啟用可選的密碼功能,即僅存在於記憶中的第 25 個字。此外,使用者應定期更換聯絡資訊,為錢包購買使用唯一的電子郵件地址,並監控 SIM 卡交換嘗試。

地址暴露帶來離線風險。配送最小化,例如郵件轉發、商業地址和取貨地點,減少了實體脅迫的表面。扳手攻擊在統計上仍然罕見,但代表著真實且不斷增長的威脅。

Global-e 事件引發了未解答的問題:有多少客戶受到影響?存取了哪些特定欄位?其他 Global-e 客戶是否遭到洩露?哪些日誌追蹤了入侵者的移動?

加密貨幣產業需要重新思考其商務基礎設施的風險。如果自我託管從資產控制中移除了可信第三方,那麼將客戶資料交給電子商務平台和支付處理商就會建立可被利用的目標地圖。

硬體錢包可能是一座堡壘,但業務營運會產生持續的漏洞。

Global-e 外洩事件不會駭入任何一台 Ledger 設備。它不需要這樣做。它為攻擊者提供了一份新鮮的姓名、地址和購買證明清單,這是發動將持續數年的網路釣魚活動所需的一切,在罕見情況下,還能促成不需要繞過加密的犯罪。

真正的漏洞不在於安全元件。而是通往使用者家門的紙本痕跡。

本文《新的 Ledger 外洩事件沒有竊取您的加密貨幣,但它暴露了引導暴力犯罪分子找到您家門的資訊》首次發表於 CryptoSlate。