慢霧安全首席信息安全官解析Ledger疑似屏幕竊取路徑

慢霧安全首席信息安全官23pds發文稱，如果Ledger設備PCB被修改的方式確如Mt. Gox前CEO Mark Karpelès所描述，那麼攻擊者將具備相當高的技術水平。

攻擊流程可能是：錢包在安全元件（SE）內生成助記詞，隨後將助記詞顯示在屏幕上供用戶抄寫；惡意模塊通過SPI等屏幕數據線路獲取顯示內容，記錄完整助記詞後，再通過LTE/eSIM將數據發送給攻擊者，最終導致用戶資產被盜。

安全元件的作用是防止私鑰被直接讀取或導出，但無法阻止外部模塊獲取屏幕正在顯示的信息。上述分析建立在PCB確實遭到所述方式改裝的前提下，相關攻擊路徑及硬件植入情況仍有待獨立驗證。

Mark Karpelès此前發文披露，其收到的一臺Ledger硬件錢包疑似被植入間諜模塊。設備來自馬來西亞，外包裝熱縮膜完好，拆開後也難以立即發現異常，植入物隱藏在屏幕原本應有的緩衝墊位置。

Karpelès進一步解釋，該模塊包含LTE通信組件、天線、eSIM及連接Ledger SPI總線的微控制器，可分析設備向用戶顯示的字符，並在助記詞設置完成後發送相關數據。SPI總線是Ledger向屏幕傳輸顯示數據的通道。

該模塊因不直接接觸安全元件與固件，設備正品驗證仍可能通過。Karpelès表示將進一步分析模塊內的SIM卡與微控制器，包括提取固件。目前Ledger官方調查仍在進行，相關硬件植入尚未獲獨立確認。

若攻擊路徑成立，資金可在用戶完成助記詞設置後被遠程轉移，承壓方爲通過可疑渠道購買設備的用戶及硬件錢包供應鏈信任，受益方爲掌握助記詞的攻擊者。

來源：公開信息