助記詞

ChainCatcher 消息，Ledger 公布硬體錢包植入攻擊事件的調查進展。據其披露，一個有組織的犯罪團夥花費數月時間購入正品 Ledger 設備，拆機後植入專門用於竊取助記詞的定制硬體，再借助東南亞經銷渠道重新投放市場。該團夥還搭建起助記詞收集、資產盜取及洗錢等配套體系，Ledger 稱其投入規模達數百萬美元。Ledger 強調，此次事件屬於局部經銷渠道攻擊，其晶片、操作系統及伺服器並未遭到入侵。公司已要求東南亞及香港的授權經銷商和分銷商暫停銷售，並實施新的安全規定，包括禁止將設備擺放在貨架或展示區，以及禁止重新銷售退貨設備。

ChainCatcher 消息，据 Ledger 官方發文，其安全團隊 Ledger Donjon 正在調查由東南亞經銷商 CryptoBilis 售出的 Ledger 簽名設備（signer），該批設備被植入未經授權的硬體元件。Ledger 於 10 月 10 日就一名受影響用戶的設備確認此事。Donjon 分析顯示，植入物位於設備外殼內，可讀取螢幕顯示內容------在初始設置時解碼 24 詞恢復助記詞，並經內建 eSIM 通過 LTE 外傳；該元件不改動安全晶片、系統或交易簽名。目前與 10 月 9 日披露事件相關的已確認資金損失均涉及經 CryptoBilis 售出的設備。CryptoBilis 已停售 Ledger 設備。受影響用戶總數及損失金額尚未核實，Ledger 正排查其他經銷商與地區的類似植入報告。

ChainCatcher 消息，硬體錢包經銷商 CryptoBilis 發佈通知稱，由於 Ledger 正在調查一起涉及東南亞用戶的資金損失事件，該公司已暫停所有 Ledger 設備的銷售與發貨，並正配合 Ledger 的調查。Ledger 此前表示，正調查從該經銷商處購買產品的東南亞用戶報告的資金損失，作為預防措施已要求 CryptoBilis 暫停相關設備的銷售與發貨，並建議過去 90 天內從其購買設備的用戶，若尚未完成初始化則暫不要設置。CryptoBilis 提醒，已完成設置的用戶應遵循 Ledger 建議，將資產轉移至使用新助記詞生成的新 Ledger 簽名設備。其強調，助記詞須由設備在初始化時自行生成並由用戶親手抄寫；若設備附帶已印好或寫好的助記詞卡片或紙張，或助記詞曾被他人看到，應將該錢包視為不安全，且不要向任何人透露助記詞或 PIN 碼。通知還提示警惕聲稱可協助追回損失資金的第三方，此類提議多為騙局。對於已發生資金損失的用戶，CryptoBilis 建議通過其官方客服渠道聯繫，並提供訂單編號、購買時間與地點、設備序列號、受影響錢包地址及交易 ID，同時保留設備與包裝，不要重置或丟棄，並建議向警方報案。該公司稱不會向用戶發送要求連接錢包、輸入助記詞或安裝軟體的鏈接。

ChainCatcher 消息，慢霧安全首席信息安全官 23pds 發文稱，如果 Ledger 設備 PCB 被修改的方式確如 Mt. Gox 前 CEO Mark Karpelès 所描述，攻擊者將具備相當高的技術水平。23pds 稱，可能的攻擊流程是，錢包在安全元件內生成助記詞並顯示在螢幕上供用戶抄寫，惡意模組通過 SPI 等螢幕數據線路獲取顯示內容，記錄完整助記詞後，再通過 LTE/eSIM 將數據發送給攻擊者。安全元件可防止私鑰被直接讀取或導出，但無法阻止外部模組獲取螢幕正在顯示的信息。他表示，上述分析建立在 PCB 確實遭到所述方式改裝的前提下，相關攻擊路徑及硬體植入情況仍有待獨立驗證。Mark Karpelès 此前發文稱，其收到的一台 Ledger 硬體錢包疑似被植入間諜模組。設備來自馬來西亞，外包裝熱縮膜完好，植入物隱藏在螢幕原本應有的緩衝墊位置，包含 LTE 通信元件、天線、eSIM 及連接 Ledger SPI 總線的微控制器，可分析設備向用戶顯示的字符，並在助記詞設置完成後發送相關數據。

ChainCatcher 消息，抖音用戶李一先生在社交媒體發布視頻稱，今年 6 月 10 日，其在華為官方商店下載到假錢包，導致助記詞暴露，被盜 177,473 枚 USDT。據其描述，黑客將其錢包地址權限轉為多簽，此後又以可花錢解鎖為由實施二次詐騙，受害者轉帳後，地址內 USDT 被全部轉走。李一先生稱，其發布視頻揭露該 App 後，該 App 在官方商城下載量驟降，黑客多次集結水軍舉報其視頻，致視頻被迫下架，並私下嘗試溝通達成有條件刪視頻的協議。其還稱，經私自調查後得知，該詐騙 App 在香港佈設有 5 台伺服器，付費將 App 上架華為官方商城並提升排名，使大量受害者在搜索中優先下載；由於中國內地存在相關禁令，相關錢包 App 無法正常上線商城，故無法上線但確實在商城中存在的 App 可能均為假冒詐騙 App。

ChainCatcher 消息，Ronin Waypoint 錢包即將停止服務，用戶需在 10 月 16 日最終遷移期限前完成資產轉移，否則遺留在 Waypoint 錢包中的資產可能無法訪問。此次遷移主要涉及使用社交登入、無密碼（Keyless）或 MPC 錢包的用戶。用戶可選擇將資產遷移至支持郵箱或社交登入的 Ronin Stash，也可以轉入由助記詞保護的 Ronin Wallet。僅使用助記詞錢包的用戶不受此次遷移影響。此外，bAXS 和徽章（Badges）需要通過 Axie 官方遷移頁面單獨處理，且該操作只能完成一次。官方提醒用戶在遷移後確認目標錢包已收到資產，並檢查 Waypoint 錢包是否仍有遺漏資產。

ChainCatcher 消息，慢霧發布安全預警稱，近期收到多起 FomoPeek 使用者資產被盜報告，經與 OKX 安全團隊聯合調查發現，部分受影響使用者此前安裝或使用過 FomoPeek 1.1--1.2 版本，相關應用包含惡意代碼。慢霧稱，FomoPeek 中存在與正常業務無關的模組，其中一個包含針對 iOS 系統的內核漏洞利用框架，支持 8 種不同攻擊方式，可根據設備型號和 iOS 版本自動選擇利用方式。受影響系統包括 iOS 12 至 18.7 以及 iOS 26 至 26.1。若利用成功，應用可能突破 iOS 沙箱並訪問、解密 Keychain 數據，從而導致私鑰、助記詞、登錄憑證及其他敏感文件泄露。此外，FomoPeek 還會連接與其公開服務無關的隱藏伺服器，並可接收遠程指令。慢霧表示，其分析捕獲的明文流量顯示，相關攻擊功能目前處於啟用狀態，並會定期自動運行。慢霧建議曾安裝或使用 FomoPeek 1.1--1.2 版本的使用者立即檢查資產是否存在異常，在從未安裝過該應用的可信設備上生成全新私鑰和助記詞，並儘快將資產轉移至新帳戶，同時升級至最新 iOS 版本，不要繼續使用或重新安裝 FomoPeek。

ChainCatcher 消息，瑞士比特幣硬體錢包製造商 BitBox 宣布，任何 BitBox 硬體錢包用戶都可在移動端 BitBoxApp 內創建閃電網絡熱錢包，直接從鏈上餘額充值並支付發票，無需在多個應用、錢包或第三方服務之間切換。該閃電錢包由用戶已有的 BitBox 備份派生，無需記錄新的助記詞，兩個錢包保持獨立。閃電網絡側作為熱錢包運行，面向小額與日常支付場景，如咖啡、發票與快速轉帳，長期儲蓄仍由硬體設備保管。在 BitBoxApp 內，用戶可掃描並支付閃電發票、收發比特幣、領取專屬閃電地址、從鏈上錢包充值，並可再次將資金轉回。該功能基於 Breez SDK 構建，BitBox 因此成為 Breez 超過 100 家集成合作夥伴之一。底層由 Spark 提供支持，用戶無需運行節點、開設通道或管理流動性，資金始終由用戶自行保管。Breez 於 8 月推出開發者應用 Glow，幫助開發者了解閃電錢包的運行情況並構建自有產品。

ChainCatcher 消息，据 Decrypt 報導，安全公司 Socket 發布研究結果，將 77 個 Firefox 擴展身份關聯到其稱為"越位錢包盜竊工廠"的惡意活動，其中 40 個已確認存在惡意行為。這些擴展偽裝成 OKX、Rabby Wallet、TronLink 等 Web3 產品，通過偽造錢包介面誘導用戶導入錢包，或使用修改版真實錢包代碼，在用戶輸入時竊取助記詞和私鑰。Mozilla 簽名記錄顯示該活動從 3 月 9 日持續至 8 月 3 日，Socket 報告時仍有多個擴展在線。其中約半數擴展展示逼真的錢包介面並要求用戶導入現有錢包，從而截獲輸入的助記詞或私鑰；另有 13 個是 Rabby 的修改版本，在正常運作的同時將錢包存儲的帳戶數據發送至外部伺服器；還有 5 個專門收集已保存的憑證和剪貼板內容。此外，37 個擴展偽裝成密碼生成器、暗黑模式切換、VPN、貨幣轉換器和筆記工具，實際運行共享同一硬編碼憑證的體育比分應用。9 個已確認的惡意擴展最初以足球、籃球等比分應用形式發布，後續更新才替換為錢包竊取代碼。Socket 將該活動命名為"越位錢包盜竊工廠"，但提醒尚未確認所有擴展背後由同一操作者控制。Socket 團隊表示，任何在這些擴展中輸入過助記詞或私鑰的用戶都應視為"永久洩露"，並立即將資金轉移至新錢包，因為卸載擴展無法撤銷已發送到別處的助記詞。

ChainCatcher 消息，Coldcard 發布最新固件 5.6.1（Mk4/Mk5）和 1.5.1Q（Q）。此次更新基於緊急修復後持續三週的安全審查，重點應對此前助記詞生成攻擊帶來的安全風險。新生成的每個助記詞必須加入至少一種用戶熵源，包括不規律按鍵至少 65 次、實體骰子投擲 50 次或實體硬幣拋擲 128 次，並與 STM32 TRNG、SE1 和 SE2 提供的新鮮熵進行組合。新固件還增加簽名前即時分階段 PSBT 驗證，強化 USB 連接及固件更新邊界，改善 Delta Mode 隔離機制，修復活躍錢包備份問題，加強隨機數生成器初始化及故障檢查，調整 SIGHASH 預設設置，並包含多項安全性和正確性改進。Coldcard 表示，此次更新旨在進一步降低設備遭受攻擊的風險。官方提醒，更新固件無法修復此前受影響固件生成的已有助記詞。若用戶的助記詞屬於此次安全公告涉及範圍，應先更新設備，再生成並驗證全新的助記詞，並將資金遷移至新錢包。Coldcard 建議所有 Mk4、Mk5 和 Q 用戶及時更新設備，並核驗所下載固件的簽名。

ChainCatcher 消息，据 Cointelegraph 報導，網絡安全公司 Rapid7 披露名為 Operation Asterix 的加密釣魚行動，目標涉及多個國家約 88.5 萬個手機號碼，並將受害者引導至虛假錢包服務網站。已有 5576 個手機號碼與幣安用戶賬戶匹配，並被列入攻擊隊列。攻擊者通過冒充 Ledger、Trezor 和 Exodus 的虛假應用竊取助記詞，同時使用偽造客服郵件及電話聯繫受害者。Rapid7 還發現，德國逾 31.6 萬個手機號碼中有 43066 個與加密交易賬戶匹配，命中率約 13.6%。相關攻擊還包括針對 Kraken 賬戶的批量手機號碼驗證工具，調查發現 AI 工具在釣魚行動中被大量使用。區塊鏈安全公司 Hacken 數據顯示，今年第一季度釣魚攻擊和社會工程詐騙造成 3.06 億美元損失，占加密行業 4.82 億美元總損失的大部分。

ChainCatcher 消息，比特幣硬體錢包製造商 Coinkite 於 2026 年 7 月下旬披露，2021 年 3 月引入的固件建構錯誤導致部分 Coldcard 錢包從較小範圍生成助記詞，降低了用戶私鑰隨機性。Galaxy Research 研究人員表示，Coldcard 漏洞利用分多輪發生，觀測到的比特幣損失在數日內從約 8,800 萬美元增至近 1.14 億美元。研究人員警告稱，其他易受影響地址仍可能成為目標後，許多 Coldcard 用戶轉移了其比特幣。Coldcard 是一款僅支持比特幣的錢包，支持通過 microSD 卡和可選二維碼進行離線簽名。該錢包於 2017 年推出，長期被視為側重安全的比特幣硬體錢包之一。

ChainCatcher 消息，幣安聯合創始人 CZ 在 X 平台轉發用戶 Rager 關於硬體錢包故障的經歷。CZ 表示，保護錢包備份助記詞（seed phrase）是一項極具挑戰的任務。助記詞不能被他人看到，否則可能被複製或利用，也不能因火災、洪水等意外損毀，同時還需要防止駭客獲取訪問權限。更重要的是，用戶自己也不能遺失助記詞。

ChainCatcher 消息，慢霧餘弦在 X 平台發文表示，COLDCARD 硬體錢包弱隨機數安全事件中，如果助記詞使用了 Passphrase，可以避開此次攻擊。Passphrase 不是錢包解鎖 PIN 碼，而是專門為助記詞設置的密碼，主流硬體錢包均支持該機制。

ChainCatcher 消息，OneKey 創始人王一石（@ohyishi）在 X 平台發文提醒稱，除截圖可能被錄屏外，第三方輸入法還可能持續讀取用戶剪貼板內容，這些行為均可能導致助記詞等敏感信息洩露。多位網友隨後跟帖表示，在未保存圖片或僅複製相關內容後打開拼多多，平台推薦頁即出現與此前螢幕內容或剪貼板內容高度相關的商品信息，由此質疑應用存在讀取螢幕或剪貼板的行為。不過，相關說法目前主要來自用戶實測與社交平台反饋，尚未見拼多多官方公開回應。

ChainCatcher 消息，据 Bits.media 報導，卡巴斯基安全研究人員發現新的惡意軟體 OkoBot，通過約 20 個模組竊取加密錢包助記詞和憑證。攻擊者利用 ClickFix 社會工程學技術誘騙用戶運行惡意命令，並通過偽裝成 SQL Server Management Studio 等合法工具的 GitHub 倉庫傳播。OkoBot 的模組包括：SeedHunter 注入 Trezor 和 Ledger 等硬體錢包，在恢復助記詞時顯示虛假介面；MC Keylogger 記錄鍵盤和剪貼板活動；OkoSpyware 追蹤錢包密碼並錄製視窗視頻。一旦攻擊者獲得助記詞，即可完全控制受害者的加密資產，資金幾乎無法追回。卡巴斯基表示，OkoBot 已存在超過一年，多數受害者分布於巴西、越南、加拿大、墨西哥和土耳其。攻擊者還對俄羅斯和獨聯體國家的 IP 地址實施了地理封鎖。

ChainCatcher 消息，Token Pocket 首席商務官 Michael 發文表示，Robinhood 創始人的助記詞在其直播時遭泄露，黑客獲取地址控制權限後利用該地址及關聯地址大量買入 Meme 幣 $1，引發數千名投資者跟風入場，短時間內將該代幣市值從約 50 萬美元迅速推高至 1,400 萬美元。隨後，$1 代幣價格大幅回落，僅兩小時交易量便達到約 2,000 萬美元。在相關地址被冻结後，黑客迅速轉移至 BNB Chain（BSC），使用該地址及其關聯地址發行新代幣，並透過自買自賣等方式製造交易熱度，最終實施拋售套現。Robinhood 的 RPC 已將該地址凍結，節點不允許地址發出的交易打包，所以無法轉帳，也無法進行買賣。

ChainCatcher 消息，慢霧 SlowMist 發布安全警報，監測到一場協同惡意 npm 供應鏈攻擊，攻擊者利用虛假交易機器人倉庫和 DeFi 主題 npm 包投放 JavaScript 信息竊取器，目標直指 npm 用戶、DeFi 開發者及交易機器人用戶。此次攻擊涉及 30 個惡意 npm 包，其中 stake-math@3.5.4 作為鎖定依賴項出現在 donoaccestag/forex-mt5-trading-bot 倉庫中，該倉庫呈現約 2300 個高度同質化的批量生成分叉，大部分集中在 poly-stocks 賬戶下，信號異常明確。攻擊者可竊取的敏感數據範圍極廣，包括加密錢包庫、瀏覽器 Cookie 與已保存密碼、瀏覽歷史、開發者憑據、Shell 歷史記錄、密碼管理器庫、私鑰、助記詞及源代碼中暴露的 API 令牌。慢霧建議開發者立即移除受影響的 npm 包，審計 package.json 與 package-lock.json 及 CI 日誌中是否包含 30 個惡意包中的任何一個；將曾執行 npm install 的系統視為可能已被入侵，輪換所有暴露的錢包、私鑰、npm 令牌、雲憑據、SSH 密鑰及 API 令牌，並從乾淨鏡像重建受影響環境。

ChainCatcher 消息，据看看新聞 Knews 報導，6 月 7 日最高檢披露一起新型虛擬貨幣盜竊案。山東男子張某長期協助熟人馮某處理虛擬貨幣交易，在獲取對方信任後，主動提議馮某更換操作更便捷的數字錢包。該類錢包的資產助記詞（密鑰），由系統從 2048 個常用英文單詞中隨機抽取 12 個組合生成，是保管虛擬貨幣的核心密碼。趁著馮某抄寫助記詞的間隙，張某僅憑肉眼和超強記憶力，牢牢記住了 11 個完整單詞，還記下了最後一個單詞的首字母。當晚，便依靠碎片化記憶反覆測試、組合破解，成功解鎖馮某的數字錢包，轉走對方 107 枚比特幣，後續變賣非法獲利 66 萬元。法院最終以盜竊罪判處其有期徒刑十年九個月，並處罰金 10 萬元。