慢雾解析Ledger疑似硬件植入攻击：恶意模块或通过屏幕数据线窃取助记词
来源 金色财经
金色财经报道，10月10日，慢雾安全首席信息安全官23pds发文称，如果Ledger设备PCB被修改的方式确如Mt.Gox前CEO Mark Karpelès所描述，那么攻击者将具备相当高的技术水平。
攻击流程可能是：钱包在安全元件（SE）内生成助记词，随后将助记词显示在屏幕上供用户抄写；恶意模块通过SPI等屏幕数据线路获取显示内容，记录完整助记词后，再通过LTE/eSIM将数据发送给攻击者，最终导致用户资产被盗。
安全元件的作用是防止私钥被直接读取或导出，但无法阻止外部模块获取屏幕正在显示的信息。不过，上述分析建立在PCB确实遭到所述方式改装的前提下，相关攻击路径及硬件植入情况仍有待独立验证。
昨日报道，Mt.Gox前CEO Mark Karpelès发文披露称，其收到的一台Ledger硬件钱包疑似被植入间谍模块，设备来自马来西亚，外包装热缩膜完好，拆开后也难以立即发现异常，植入物隐藏在屏幕原本应有的缓冲垫位置。
Karpelès进一步解释称，该模块包含LTE通信组件、天线、eSIM及连接Ledger SPI总线的微控制器，可分析设备向用户显示的字符，并在助记词设置完成后发送相关数据。
免责声明：仅供参考。 过去的表现并不预示未来的结果。
推荐文章
美债收益率全线冲高回落，其中10年期美债收益率一度升至5.329%，但其后下跌14个基点至5.19%，连续两日下跌。究其原因，尽管美国9月核心通胀连续第二个月超出预期，但CPI走高主要受汽油价格驱动，这视乎并不足以令美联储下定决心加速收紧货币政策。周三（10月14日）美国旧金山联储银行总裁戴利表示，美联储很可能还需要进一步加息，但暗示没有必要在10月会议上采取行动，因为加息并无紧 迫性。芝加哥联储主席古尔思比虽然称9月CPI“令人沮丧”，但倾向于等待更多数据再决定是否加息。
接下来关注美联储主席沃什谈话，若其释放鹰派信号，金价或跌破4000美元/盎司。
周四（10月15日）黄金时段内大涨61美元至高位4161美元，一举收复隔夜美国9月CPI数据公布后的全部跌幅。值得留意的是，黄金自9月28日重挫4%以来逾两周时间内反复考验4100美元支撑，但均未出现日线收盘跌破，表明黄金多头蓄势待发。而在美国CPI公布后，不排除黄金多头借“利空落地”正式开启反弹行情可能。
周四（10月15日）投资者对通胀威胁及人工智能(AI)基础设施投资背后的债务风险的担忧主导市场走势，资金流入美债、黄金寻求避险。10年期美债收益率跌16个基点最低至5.039%，逼近5%水平；30年期美债收益率跌14个基点，最低至5.38%；黄金涨1.57%至4169美元，一举收复美国9月CPI数据以来全部跌幅。
10年期美债收益率或透过房贷、汽车贷款、企业投资与生活成本传导至选民身上，成为中期选举的重要政治风险。不排除美债、黄金开启阶段性上涨。
但对于反弹空间而言，投资者需从美联储政策路径、能源价格、财政赤字以及海外投资者需求四个方面考量。若在此过程中美国经济衰退风险加剧，不排除10年期美债收益率击穿5%心理关口，并进一步回落考验4.75%水平甚至4.3%水平。
