สรุปเหตุการณ์ด้านความปลอดภัยในอดีตของ Ledger: แอปปลอมเคยทำให้ถูกขโมย 9.5 ล้านดอลลาร์ เหตุการณ์ถูกขโมยวันนี้ถือเป็นครั้งที่ใหญ่ที่สุด

ข่าว BlockBeats วันที่ 9 ตุลาคม ผู้ผลิตกระเป๋าเงินฮาร์ดแวร์ Ledger ตกอยู่ในกระแสความกังวลด้านความปลอดภัยอีกครั้งในวันนี้ โดยหน่วยงานความปลอดภัยบุคคลที่สามประเมินความสูญเสียครั้งนี้อยู่ที่ประมาณ 90 ล้านดอลลาร์ ปัจจุบันทางบริษัทกำลังสอบสวนความสูญเสียด้านเงินทุนที่เกี่ยวข้องกับอุปกรณ์ที่จำหน่ายโดย CryptoBilis ตัวแทนจำหน่ายที่ได้รับอนุญาตในเอเชียตะวันออกเฉียงใต้ และได้สั่งให้ระงับการจำหน่ายและการจัดส่ง พร้อมแนะนำให้ผู้ใช้ที่ซื้อเครื่องจากช่องทางนี้ภายใน 90 วันที่ผ่านมาดำเนินการอย่างระมัดระวังหรือโอนย้ายสินทรัพย์ สาเหตุของเหตุการณ์ยังไม่ได้รับการยืนยันขั้นสุดท้าย คาดว่าเป็นความเสี่ยงจากการถูกดัดแปลงในห่วงโซ่อุปทาน/อุปกรณ์

ย้อนดูเหตุการณ์สำคัญที่เกี่ยวข้องกับการถูกโจมตีและความสูญเสียด้านเงินทุนในประวัติศาสตร์ของ Ledger:

ปี 2018: ช่องโหว่ด้านการวิจัยฮาร์ดแวร์และห่วงโซ่อุปทานในยุคแรกปะทุขึ้นพร้อมกัน นักวิจัยด้านความปลอดภัยสาธิตความเป็นไปได้ที่ Nano S ถูกดัดแปลงก่อนออกจากโรงงาน รวมถึงปัญหาการข้าม MCU bootloader ช่องโหว่การแยกส่วน และการฉีดที่อยู่ทอนเงิน Bitcoin Ledger ได้ออกประกาศด้านความปลอดภัยและแก้ไขเป็นระยะ ส่วนใหญ่เป็นระดับงานวิจัยหรือสถานการณ์ที่ต้องสัมผัสทางกายภาพ

ปี 2020: การรั่วไหลของข้อมูลลูกค้าครั้งใหญ่ ผู้โจมตีเข้าถึงฐานข้อมูลอีคอมเมิร์ซและการตลาดผ่านคีย์ API ของบุคคลที่สามและช่องโหว่ที่เกี่ยวข้องกับ Shopify อีเมลกว่า 1 ล้านฉบับและบันทึกรายละเอียดลูกค้าประมาณ 272,000–292,000 ราย (ชื่อ ที่อยู่ โทรศัพท์ ฯลฯ) ถูกเปิดเผย ฮาร์ดแวร์และกุญแจส่วนตัวไม่ได้รับผลกระทบ แต่ก่อให้เกิดการฟิชชิ่ง วิศวกรรมสังคม และการฉ้อโกงด้วยจดหมายปลอมแปลงเป็นทางการในระยะยาว

ธันวาคม 2023: การโจมตีห่วงโซ่อุปทาน Ledger Connect Kit อดีตพนักงานถูกฟิชชิ่งทำให้บัญชี NPMJS ถูกควบคุม ผู้โจมตีเผยแพร่ Connect Kit เวอร์ชันอันตราย ฉีดเข้าไปใน DApp ที่พึ่งพาไลบรารีนี้ หลอกให้ผู้ใช้ลงนามธุรกรรมขโมยเหรียญ ในช่วงเวลาที่ aktif ประมาณ 2 ชั่วโมง ความสูญเสียอยู่ที่ระดับประมาณ 480,000–600,000 ดอลลาร์ ฮาร์ดแวร์และ Ledger Live เองไม่ถูกเจาะโดยตรง

มกราคม 2026: ข้อมูลคำสั่งซื้อของ Global-e บุคคลที่สามรั่วไหล ระบบของพันธมิตรด้านการชำระเงินและโลจิสติกส์ถูกเข้าถึงโดยไม่ได้รับอนุญาต ข้อมูลที่เกี่ยวข้องกับคำสั่งซื้อบางส่วนจาก Ledger.com (ชื่อ ที่อยู่ ข้อมูลติดต่อ ฯลฯ) ถูกเปิดเผย ระบบของ Ledger เองและกุญแจส่วนตัวไม่ได้รับผลกระทบ แต่เพิ่มความเสี่ยงฟิชชิ่งอีกครั้ง

เมษายน 2026: การฉ้อโกงด้วยแอปปลอม Ledger Live บน App Store แอปปลอมถูกเผยแพร่ประมาณหนึ่งสัปดาห์ หลอกให้ผู้ใช้ป้อนวลีช่วยจำ ผู้เสียหายกว่า 50 รายสูญเสียประมาณ 9.5 ล้านดอลลาร์ ครอบคลุมหลายเชน Apple ได้นำออกในภายหลัง Ledger เน้นย้ำว่าจะไม่ขอ 24 คำวลีช่วยจำตลอดไป

สิงหาคม 2026: ช่องโหว่ที่เกี่ยวข้องกับการลงนามในแอปพลิเคชัน Ethereum (LSB-023 ฯลฯ) รวมถึงปัญหาคำสั่งสลับกันทำให้การแสดงผลและพารามิเตอร์การลงนามไม่ซิงค์กัน การข้าม Clear-signing ต้องอาศัยโฮสต์ที่เป็นอันตรายร่วมด้วย Ledger ระบุว่าไม่มีหลักฐานผู้ใช้จริงถูกใช้ประโยชน์ ได้แก้ไขในเวอร์ชันใหม่แล้ว

9 ตุลาคม 2026 (ล่าสุด): เหตุการณ์กระเป๋าเงินถูกกวาดจนเกลี้ยงครั้งใหญ่ที่เกี่ยวข้องกับตัวแทนจำหน่าย CryptoBilis คาดการณ์ความเสียหายใกล้ 90 ล้านดอลลาร์ Ledger กำลังสอบสวน สงสัยว่าเป็นการโจมตีในห่วงโซ่อุปทานหรือการดัดแปลงอุปกรณ์ที่มุ่งเป้าไปที่ช่องทางเดียว ทางการได้ระงับการจำหน่ายและแนะนำให้ผู้ใช้ย้ายสินทรัพย์แล้ว