GER:Ledger被爆用戶資產丟失 硬件錢包還能保護資產安全嗎？

金色財經記者 Jessy

近日，知名硬件錢包廠商Ledger被爆有兩名用戶通過其推薦的兌換商平臺Wyre和Changelly進行幣幣兌換時出現資金“丟失”。

根據Twitter網友Kai和NextDao核心貢獻者0xSea.eth在推特上的爆料，兩件資金“丟失”事件的大致經過已基本清晰：一名用戶通過ledger對接的兌換服務商Wyre兌換usdt到usdc，但遲遲未到賬，最終在ledger的介入下追回了大部分資金，目前還有約2萬美金資金未到賬。而另一位用戶則是通過其對接的兌換服務商Changelly兌換usdt到usdc，全部資金近300萬美金均未到賬，Leger support針對該事件在Twitter上發聲說正在和Changelly隊伍接觸并且尋找快速解決這個問題的方法。

兩位用戶在大額兌換之前均進行了小額測試，均未出現問題后再進行大額兌換。據了解，Wyre和Changelly均為中心化機構。這次問題的出現，和最近席卷加密世界的中心化交易所暴雷危機一樣，再次揭示在加密世界中，去中心化的重要性。

Ledger Live與ClubNFT合作可免費備份NFT:金色財經報道，NFT公司ClubNFT與Web3平臺Ledger合作，使Ledger Live 應用程序的所有用戶能下載備份將他們的 NFT 存儲到他們自己的計算機上。自 2022 年 6 月推出以來，ClubNFT 已經備份了超過200 萬個NFT，并固定了超過150 萬個NFT。[2023/3/24 13:23:09]

Ledger作為最大的硬件錢包服務商，出現此次問題，也暴露出了曾經被認為是儲存資產“最安全”的方式似乎也不如想象中的安全，錢包產品也需要不斷自我革新。

 

第三方中心化兌換商提供服務，swap變轉賬

根據用戶反映，使用Wyre兌換商兌換148萬U的用戶，在進行小額兌換試驗成功時，其交易流程顯示為swap，也獲得了該筆swap的swap id，而到了進行大額兌換時，則顯示為轉賬流程。并且資金最終被轉移到一個個人賬戶，而非合約賬戶。后轉賬遲遲未到賬，用戶向Wyre投訴，但因為沒有swap id，Wyre拒絕受理，問題的解決陷入了死循環。最終，在拖了近兩周后，在Ledger support公開介入承諾后的第二天，大部分資金被歸還給用戶，但還有兩萬多U未追回。

DeversiFi：巨額Gas費用或由EthereumJS庫或Ledger顯示問題導致，礦工已歸還7626ETH:9月29日消息，非托管交易所 DeversiFi 針對此前包含 7676.62 ETH 的 Gas 費用的交易發布事后分析報告稱，EthereumJS 庫中的潛在問題在某些情況下與 EIP-1559 升級相關的 Gas 費用變化結合，以及 Ledger 硬件錢包可能存在的顯示問題，可能導致交易費用極高，當發生這種情況時，只有資金量非常大的錢包才會受到影響，其他用戶在交易時則會顯示交易失敗。另外，Bitfinex 在與礦工協商后，礦工已歸還 7626 枚 ETH，剩余 50 ETH 提供給礦工作為退貨費用。DeversiFi 正在與以太坊社區和 Ledger 合作，以避免此類事件的再次發生。

此前報道，Bitfinex 交易所的一個主要錢包以總計 7676.62 ETH （約合 2354 萬美元）的 Gas 費用進行了一筆 10 萬美元 USDT 的轉賬，最終的接收方為 2019 年從 Bitfinex 分拆出來的非托管交易所 DeversiFi。[2021/9/29 17:13:44]

使用Changelly兌換商兌換近300萬美元的用戶，則是在小額測試之后，進行大額兌換時遲遲未到賬。在他主動聯系平臺客服后，他被要求做KYC，做完KYC后，他繼續被要求提供資金來源的證明，這一過程持續了好幾周，距離事情發生已經過去了一個多月，該用戶的資金一直被Changelly所扣押，隨著用戶在Twitter上曝光這一事件，Leger support針對該事件在Twitter上發聲說正在和Changelly隊伍接觸并且尋找快速解決這個問題的方法。

Ledger首席執行官：不會向個人數據被泄露的用戶提供補償:金色財經報道，Ledger首席執行官Pascal Gauthier今日表示，該公司不會向那些個人信息在網上被泄露的用戶提供任何補償，其中包括家庭住址被泄露的用戶。Ledger估計，其27萬名用戶中部分人的姓名、送貨地址和電話號碼被泄露在網上。此前消息，黑客網站Raidforums上已經公開了一個包含超過百萬份客戶電子郵件的數據庫。這些數據是在2020年6月Ledger的電子商務數據庫遭到黑客攻擊時被盜的。[2020/12/22 16:02:32]

這兩起事件涉事金額都較大，梳理事件的經過我們可以發現，這兩個中心化的兌換服務商平臺，在大額幣幣兌換的流程中，就存在著一定的問題，而在用戶資金發生后，處理問題的效率也不盡如人意。用戶出于對Ledger的信任，從而信任了其對接的第三方兌換商服務平臺Wyre和Changelly，而在事件發生后，其并未及時高效地介入，幫助用戶解決問題。

MPC錢包服務商Bitizen創始人Winson向金色財經記者分析此次事件。他認為，事情發生的原因還未查清，不能說在這一過程中一定是哪一方把錢黑了。因為這兩個兌換服務商是中心化的，所以在處理問題的過程中就會涉及到大量中心化的流程。比如說可能因為軟件的bug或者說是中間的一些風控流程需要人工介入，但因為介入不及時導致流程被卡住了，再加之沒有完善的應急處理措施。而且這兩個服務商都是老外的服務商，其實西方團隊的做事風格就是如此，用戶響應環節緩慢，所以很可能是花了大量的時間在查問題出現在了什么。在中心化的機構中，表面上看起來這只是一個swap，但背后涉及的環節還是很多的。

動態 | Ledger披露Trezor硬件錢包的五個漏洞:據cointelegraph報道，根據周一發布的一份報告，Ledger披露了其直接競爭對手Trezor兩種型號的硬件錢包中的五個漏洞。第一個漏洞與設備的真實性有關。根據Ledger團隊的說法，可以通過使用惡意軟件進行后門處理來模仿Trezor設備。其次，Ledger的黑客使用側通道攻擊猜到了Trezor錢包上PIN的價值，Trezor后來在其固件更新1.8.0中解決了這個問題。第三和第四個漏洞與從設備竊取機密數據的可能性有關。Ledger聲稱，對Trezor One和Trezor T具有物理訪問權限的攻擊者可以從閃存中提取所有數據，并控制存儲在設備上的資產。此外，最后一個漏洞與Trezor的安全模型有關。截至目前時，Trezor沒有立即對Ledger的調查結果發表評論。[2019/3/12]

去中心化是行業發展的方向

AA錢包服務商Unipass創始人知縣告訴金色財經記者，據他了解，當下的錢包服務商多半在對接兌換商時，選擇的是中心化機構。Winson認為，出現這次問題的根本原因就在于，這兩個服務商均是中心化的服務商。

美國內華達州居民假日最喜歡購買Ledger Nano比特幣硬件錢包:據個人購物助手應用程序Earny在2017年11月1日至2018年2月1日期間利用超過1億次網上購物的數據得出，比特幣硬件錢包Ledger Nano是美國內華達州假日購物時，最喜歡購買的。[2018/4/4]

涉及到幣幣交易，是有完備的去中心化解決方案的，而不選擇去中心化的服務，選擇中心化的服務商，這似乎看起來是難以理解的。Winson向記者解釋，這很好理解，這是因為很多的Web3企業，雖然是在做Web3的產品，但是這個公司在思維和辦事方式上還是Web2 中心化的那一套。據他了解，這兩個兌換服務商均持有金融牌照，Ledger選擇他們，正是看中了他們的“合規化”，其思維還停留在合規的牌照要比去中心化的代碼更靠譜上。

 Web3的靈魂就是去中心化。但無論是行業從業者還是用戶，其實均未把這一點真正落實。據Winson觀察，但因為現在行業還處于早期發展階段，很多產品技術不成熟，導致真正的Web3應用普遍體驗差。大量新進用戶其實很多都是來投機的，這些人更關注的是自己是否賺到錢，而應用是否去中心化并不是客戶的需求。客戶也更愿意去選擇使用一些體驗更好，或者是大公司的產品。

在行業還未完全實現去中心化時，知縣認為，錢包商首先在選服務商要慎重，二是應該充分提示用戶當前正在使用的是第三方服務，在用戶明確了解情況后再進行引導和跳轉。Twitter上的爆料人表示，此次出現狀況的用戶是圈內的小白。Winson表示，雖然Ledger事件中，用戶自己可能也大意了，圖省事就選擇了Ledger上對接的中心化兌換商。但是不能要求用戶成為專家了再去使用產品，自己能規避各種風險。用戶沒有這個義務，提供安全的產品是產品方的責任。

在事件發生之后，Ledger的表現也不盡如人意。據了解，這些錢包上在對接第三方的服務商時，會簽署相關的合同，而錢包方在每一筆兌換服務中，會有抽成。Winson認為，用戶是出于信任了Ledger而選擇信任了其對接的第三方兌換商，而且其還在其中收取了抽成。雖然是第三方服務平臺出了問題，但Ledger也需要在事件中承擔一定的責任。理論上，Ledger去聯系這些兌換商，要比用戶自己去聯系效率高許多。但是在事件的處理過程中，盡管Ledger出面了，但是一是其介入的時間比較晚，二是拖延的時間太長了。

剝離出這些細節問題，解決問題的關鍵其實還在于應該選擇去中心化的服務上。作為今年剛推出的錢包產品，Bitizen和Unipass均向記者表示，均會接入去中心化的兌換服務商。涉及到法幣交換，Bitizen表示，目前，還只有中心化的解決方案。

隨著像FTX暴雷類似的中心化的服務商總出問題，每次都會有人交學費，行業就會學習和進步，便會不斷向著去中化的方向發展。

沒有絕對安全的錢包，資產安全也需用戶自身留心

錢包的安全問題頻發，此次是被認為是“最安全”的硬件錢包出了問題，雖然是其對接的第三方機構的主要責任，但也引發了用戶的恐慌。

錢包的安全直接關系到用戶的資產安全。目前，市面上錢包產品種類繁多，按照不同的方式分類，便可以劃分出不同種類的錢包產品。近日，在中心化交易所暴雷的大背景之下，錢包賽道迎來了紅利期，新的技術產品也在不斷推動著行業的發展，錢包的安全漏洞也在技術革新之下被不斷修復。

曾經，硬件錢包被認為是“最安全”的資產處理方式。安全的本質是攻擊的成本越高越安全。硬件錢包被認為最安全是因為硬件錢包是把用戶的私鑰放到一個脫離網絡的封閉環境里去保管，這就讓黑客通過網絡來攻擊私鑰的成本高到幾乎不可能。

但是硬件錢包也并不是絕對的安全，Winson告訴金色財經記者，在談錢包的安全時，可以認為是由用戶的助記詞的安全和私鑰的安全共同組成的。但是硬件錢包的助記詞還是由個人去保管，如果用戶沒有能力保管好其助記詞，資產照樣會丟失。

目前，不需要用戶自行記錄和保管私鑰和助記詞的MPC錢包和AA錢包也在行業內掀起了新的范式，這似乎是對以往錢包私鑰丟失或被攻擊等安全問題頻發的一次革新。

新范式錢包的出現，也會有新的安全問題出現。在聊到關于AA錢包的安全問題時，知縣也坦誠告訴金色財經記者，作為還未被時間檢驗的新的產品，難免會被質疑不夠安全。

小狐貍錢包的普遍應用是在上一輪牛市Defi大爆發的背景下實現。隨著下一輪牛市的到來，錢包作為行業的基礎設施應用，也會迎來新的洗牌，用戶手中的錢包也會隨著行業的發展不斷變化。對于用戶來說，面對各式錢包，應該如何選擇適合自己的錢包產品和維護自己的資產安全？

知縣建議，最簡單的是把囤幣賬戶和交互賬戶做分割，如果資產比較多，前者可以考慮使用硬件錢包。再詳細的建議就是去閱讀慢霧出品的《黑手冊》（darkhandbook.io），即便沒辦法完全掌握，至少也能感受到哪些場景可能會出安全風險。

金色財經 子木

金色早8點

去中心化金融社區

虎嗅科技

區塊律動BlockBeats

CertiK中文社區

深潮TechFlow

念青

Odaily星球日報

騰訊研究院

Tags：GEREDGEEDGLEDBABYCRAZYTIGER幣ledger錢包官網打不開ledger錢包無法同步ledger錢包幣被盜

FIL