加密货币硬件钱包制造商莱杰近日爆出供应链安全危机。根据该公司公布的调查进展，部分硬件钱包疑似遭人秘密植入额外电子装置，可能在用户首次设置设备时读取屏幕显示的助记词，并将相关信息传送至外部。事件曝光后，莱杰要求东南亚多个国家及中国香港的经销商暂停销售相关产品，安全调查也从最初的个别盗币事件扩大至多个零售渠道。
此次停售涉及菲律宾、马来西亚、印度尼西亚、新加坡、泰国、越南及中国香港，范围涵盖实体零售店和第三方线上销售渠道。不过，莱杰表示，目前尚无证据显示其官方直营销售渠道遭到入侵，现阶段的预防措施主要针对区域经销商及分销商。
事件最早于10月9日引发关注。当时，多名用户反映，自己购买的莱杰硬件钱包出现异常，钱包内的加密资产疑似遭人转走。相关设备主要来自马来西亚经销商加密比利斯。莱杰随后要求该经销商暂停销售及发货，并启动内部调查。
随着调查深入，问题逐渐浮出水面。莱杰旗下安全研究团队检查相关设备后发现，部分硬件钱包内部疑似被安装了未经授权的电子组件。这些装置可能在用户首次设置钱包时，读取屏幕上显示的24个助记词，再通过移动通信网络将信息传送出去。
与常见的恶意软件不同，这次事件被指涉及实体硬件改装。研究人员发现的可疑组件包括微型控制器、移动通信模块、电子用户识别卡，以及连接设备屏幕的特殊排线等。由于这些装置可能藏在钱包外壳内部，仅从外观上看，未必能够发现异常。
更值得警惕的是，这类攻击未必需要破解设备原有的安全芯片。如果攻击者能够获取完整助记词，就可能在另一台设备上恢复对应的钱包，进而尝试转走其中的比特币、以太坊及泰达币等加密资产。也就是说，即使设备原有的安全系统没有被直接攻破，用户仍可能因为助记词泄露而面临资产风险。
随着调查范围扩大，新加坡也出现了相关疑点。10月13日，安全研究人员马克·卡尔普莱斯公开拆解一台从新加坡樟宜机场一家名为元宝的商店购买的莱杰灵活型硬件钱包，并称在设备内部发现了可疑改装组件。
据设备持有人本·约克介绍，这台钱包早在6月底便已购入，但一直没有启用，外包装也保持完整。事件曝光后，设备才被送交研究人员检查。拆解结果显示，钱包内部存在疑似经过定制的通信模块、天线、供电线路及屏幕连接组件，这些部件能够安装在原有外壳内部，不容易从外部察觉。
此外，研究人员还报告称，新加坡一家位于怡丰城购物中心的挑战者电子产品零售店出售的莱杰灵活型钱包，也出现类似的可疑改装迹象。不过，目前尚不能据此认定所有相关零售渠道的设备均遭到篡改，更无法确认这些设备都已经造成用户资产损失。
欧洲市场同样出现警报。德国有消费者报告称，购买的莱杰钱包存在异常硬件组件。随后，欧洲大型电子产品零售集团麦德龙零售集团宣布，出于预防考虑，已在其经营的市场暂停通过实体及线上渠道销售相关产品。
至于事件造成多大损失，目前仍没有最终定论。区块链调查人员估计，可能已有数百个钱包受到影响，相关异常资金流动规模最高约达9300万美元。但这属于独立调查人员根据链上交易作出的估算，并非莱杰正式确认的最终损失金额，实际受害人数及损失规模仍有待进一步核实。
与此同时，稳定币发行商泰达公司已冻结约1000万美元、被怀疑与此次盗币事件有关的泰达币，相关资金仍在追踪调查中。
莱杰在最新安全公告中表示，截至10月13日，公司能够确认的资金被盗事件仍集中在东南亚，并与加密比利斯销售的设备有关。至于其他经销商出售的疑似遭篡改设备，目前仍处于调查阶段，公司尚未证实其他渠道也发生了资金被盗事件。
对于恶意装置究竟在哪个环节被植入，调查人员仍在寻找答案。设备在制造、仓储、运输或零售过程中是否遭到动手脚，目前尚无法确定。由于风险范围仍不明朗，莱杰决定扩大预防措施，要求东南亚及香港的经销商暂停销售相关设备，等待进一步调查结果。
对于近期通过第三方渠道购买硬件钱包的用户，安全专家建议，在设备来源及安全状况尚未确认前，不要贸然初始化设备，更不要急着将大量加密资产转入新钱包。如果已经使用疑似受影响的设备生成过助记词，应考虑通过可信设备创建全新的钱包和助记词，再将资产转移至新地址。
需要特别注意的是，如果原有助记词已经泄露，仅仅修改密码或将设备恢复出厂设置，并不能消除风险。真正需要保护的是能够恢复钱包的那组秘密信息，而不是设备本身。
莱杰也提醒用户，不要向自称客服人员或安全调查人员的陌生人透露助记词，更不要通过来历不明的链接进行所谓的安全验证。
此次事件再次暴露出硬件钱包供应链中容易被忽视的一环：即使产品外包装完整、外观没有明显异常，甚至原有安全芯片并未遭到破解，也不能完全排除设备被额外植入恶意组件的可能。
目前，莱杰安全团队仍在分析回收设备，并调查可疑装置的植入方式及相关责任方。东南亚及香港第三方经销渠道何时恢复销售，尚无明确时间表。对于持有相关设备的用户而言，现阶段最重要的不是急于恢复使用，而是先确认设备来源、核实安全公告，并妥善保护自己的助记词及资产。
