Ledgerは販売代理店CryptoBilisのデバイスにハードウェアが組み込まれ、ニーモニックがLTE経由で外部送信されたことを確認した。

BlockBeatsのニュース、10月13日、Ledgerのセキュリティチームはハードウェア植入事件の最新調査進捗を発表し、東南アジアの販売代理店CryptoBilisが販売した一部のLedgerハードウェアウォレットに未承認のハードウェアが植入されていることを確認した。植入物はデバイスの外殻内にあり、画面表示内容を読み取り、ユーザーの初期化時に24個の助記詞を傍受し、内蔵マイクロコントローラーとeSIMを介してLTEネットワーク経由で外部に送信する。このコンポーネントは独立して動作し、Secure ElementやLedgerオペレーティングシステムを変更せず、取引署名にも干渉しない。これまでのところ、10月9日に開示された資金盗難事件において、確認されたすべての損失はCryptoBilisチャネルのデバイスに関連しており、他のチャネルでは関連事例はまだ確認されていない。CryptoBilisはLedger製品の販売を一時停止しており、調査は続いている。

Ledgerは、影響を受けたユーザーの総数と損失金額をまだ確認しておらず、オンラインで流布している数字は公式に検証されていないと述べた。同社は、CryptoBilisから購入し未初期化のデバイスは設定しないこと、すでに設定したユーザーは直ちに資産を新しいデバイスに移し、全新しい助記詞を生成すること、問題のデバイスで助記詞を復元しないことを推奨している。影響を受けたユーザーはLedgerの公式サポートチャネルを通じて連絡し、地元の法執行機関に通報するよう求められている。Ledgerは、自社の公式チャネルと直接販売製品は影響を受けていないことを強調し、ユーザーに認可されたチャネルのみを通じて購入すること、および助記詞を要求する行為に警戒するよう注意を促している。