不安的钱：Ledger 供应链攻击为何瞄准近 1 亿美元资产

这期《Uneasy Money》从 Ledger 硬件钱包事件谈起。主持人们关注的并非某个单一的设备漏洞，而是一个更难处理的场景：攻击者若能进入看似可信的销售与分销环节，用户拿到的可以是一台能通过官方真伪检验的真设备，同时仍在泄露助记词。

节目随后把同一问题放到更宽的范围里讨论：高价值资产为何会吸引更昂贵、更有耐心的攻击；AI 让硬件制作、代码审计和本地推理更容易后，防守方和攻击方的成本怎样变化；一条链的安全赏金该按潜在损失定价，还是按持续发现漏洞所需的资源定价。末段的 Starknet、二层网络与智能合约钱包争论，则回到产品架构：性能、互操作性与用户控制权并不会自动由同一种方案兼得。

一次针对供应链的硬件钱包攻击

按节目中引用的公开报告，受害设备大多在约四到五个月内售出，失窃资产的估计在 7,000 万至 1 亿美元之间。主持人将这视为估算，不是已经完成的审计结论；他们也没有断言某一家经销商已经被证实负责。讨论中提到 CryptoBillis 自 2021 年起就在行业活动中出现，并与 Ledger 等公司有业务往来，因此调查视线才会落到这条分销路径上。

这与过去常见的骗局不同。旧套路包括泄露邮件名单后发钓鱼信、把设备伪装成 USB 存储器并引导用户安装恶意软件，或在退货设备的包装里预先放入攻击者已经掌握的 24 个助记词。有些包装甚至把词组印成刮刮卡，借由完整、精致的开箱流程降低用户的警惕。那些案例通常依赖可疑店铺、二手退货或完全伪造的设备。

节目所说的这次装置则是真 Ledger。主持人根据拆解与报告描述，它没有替换安全元件、主处理器或固件，所以设备的真伪检验仍会通过。攻击者据称在很小的机身内加装 LTE 芯片、额外的 CPU 和 eSIM，并接到原有电路板上；当助记词从安全区域被送往屏幕显示时，附加模块可能截取这些数据，再经移动网络发往其控制的服务器。关于数据最终传输与服务端的位置，节目明确使用的是推测性说法。

助记词显示出来，安全边界也随之出现

主持人没有把问题简单归为厂商疏忽。助记词在设备内部生成后，用户总得以可读形式抄下备份；一旦需要把这些词显示在屏幕上，系统中就存在从安全区域到用户眼前的明文路径。给屏幕再加一层只有用户能解开的编码，会把备份流程变得很复杂，用户最终仍需要获得可读的词组。

理论上，持有人可以选择不显示助记词，只用 PIN 码并把设备永久保管好。节目认为这会避开此次攻击所利用的显示步骤，却引入另一类风险：设备丢失、损坏或 PIN 码遗忘后，没有可靠备份就无法恢复资产。一位主持人根据多年处理求助的经验估计，用户漏记助记词、顺序写错，或把附加口令遗忘造成的损失，累计也许已达数十亿美元；这只是他的经验判断，并非节目给出的统计。

因此，节目给出的保管思路是分散，而不是把流程堆到难以执行。多签可以让一个 Ledger 或 Trezor 只是若干签名者之一；例如有三名签名者、其中两名即可批准交易的配置，能在一枚设备泄露后留出替换空间。Shamir 秘密共享也能把助记词拆分后存放在不同地点。不过，主持人同样提醒，额外的第 25 个词、多地点存放和复杂的恢复规则会增加人为出错的机会。对多数人来说，能被自己和继承人准确复现的简单安排，比设计得极其精巧却无人能恢复的安排更重要。

事件公开后，恐慌本身又成了新的攻击面。参与处理求助的一位主持人说，近几天看到的部分损失并非来自带 LTE 模块的设备，而是用户急于处理风险时点击了伪装成 Ledger Live 下载链接的广告、进入钓鱼站，或接听了冒充客服的电话。硬件钱包能缩小电脑恶意软件带来的攻击面，却不会替用户判断搜索广告、安装包和来电的真伪。

节目也讨论了这种不对称性。一个价格不高的硬件钱包可能保管着数百万甚至数千万美元，攻击者自然有动力研究其供应链。主持人拿从官方门店购买的 iPhone 作对照：大众手机的用户群庞大而目标分散，专门为单个持有人篡改一台手机的经济回报通常不高；高价值加密资产的持有人却构成了更集中的目标。这个比较是他们对攻击激励的分析，并不是对任意手机或官方渠道的安全保证。

关于资金随后经过 Zcash、Tornado Cash 等路径的讨论也保持了类似的边界。主持人反对从个别资金流被追踪就推论某种隐私工具已经失效。在他们看来，分析者能建立关联，常常因为攻击者急于转移大额资金时留下了燃料费、金额或进出时间上的可识别线索；这不等于隐私机制本身被完全破解。

当模型权重也成为高价值资产

下一则新闻谈到一名据报道在 OpenAI 办公室放置录音设备的人。节目没有把报道中提到的动机或国家关联当成已证实事实：几位主持人认为其中一些细节显得反常，也承认无法判断这究竟是笨拙的个人行为，还是有更复杂的背景。讨论的落点在于，前沿模型的权重、研究方向和内部会议内容已是极高价值的知识产权，因此会吸引窃取和监控的尝试。

这段对话还反映出工具门槛的变化。节目中的一位技术参与者已经用 AI 协助搭建常驻监听装置、实验电子项目和自制硬件钱包，另一位则举例称，有熟人以约 250 万美元购置四张 GB300 组成集群，并在本地运行 GLM 5.3，速度约为每秒 150 个 token。这些都是嘉宾提供的个人案例，不足以说明本地推理的普遍成本或性能；它们说明的是，曾经需要专业团队的软硬件试验，正逐步进入资金雄厚的个人与小团队的选择范围。

主持人也提到，云端模型对供应链调查或网络安全问题的限制，可能让正当研究者的工作流中断，而完全在本地运行模型又会降低平台对滥用的可见性。这并没有导出一个简单的政策答案。节目呈现的张力是：工具越容易使用，防守者可以更快分析设备和代码，攻击者也获得同样的制作与迭代能力。

漏洞赏金该奖励发现，还是覆盖潜在损失

节目接着讨论了一起 XRP 无限增发漏洞及其 25 万美元赏金。发起讨论的主持人承认，面对可能铸造大量代币的缺陷，这个金额看起来很小；社群中也有人主张，奖励至少应更接近攻击者本可获得的价值。另一方的反问是，即使把奖励提高到 200 万或 2,000 万美元，也未必能让研究者放弃可获利的攻击，更不能证明漏洞一定会更早被发现。

他们把 25 万美元放回更广的漏洞赏金体系比较。节目提到，Google 的顶级赏金也曾是这一量级，而一次 Chrome 远程代码执行漏洞的发现者据称由三四人连续研究约六天，并花了约 4 万美元计算资源。这个例子没有用来证明两个漏洞价值相同，而是把问题拆成了可计算的部分：研究者的时间、算力支出、选定一个目标而放弃其他目标的机会成本，以及最终什么都找不到的风险。

主持人的观点并不完全一致，但有两项共同的顾虑。其一，公开的赏金上限若在发现重大问题后随意改变，项目的规则就失去可预期性；其二，赏金若无限接近潜在损失，小项目难以继续运行计划，研究者也失去从较小问题开始积累经验的市场。分级奖励、稳定的兑付记录和对特殊情况的额外安排，或许比把每次漏洞都按链上资产规模定价更可持续。随着 AI 辅助审计拉高计算成本，补贴算力等方式也可能成为新的激励选项；节目将其视作待设计的方案，而非现行结论。

Starknet 是否该成为一条 L1

Starknet 表示可能走向 L1，并称目标是在 2027 年前实现完全抗量子。节目没有把这一目标当成既成事实，而是借此讨论 L2 的位置是否正在变化。一位主持人认为，早年 L2 的核心吸引力是更大的区块空间、更低的费用与更多计算空间；如果以太坊自身持续扩容，通用 L2 的估值和存在理由都会受到挤压，独立 L1 反而可能获得更高的市场溢价和更大的技术自主权。

反对意见是，面向消费者的应用仍可能需要亚秒级、低于一美分的交易体验，再把结果结算到以太坊。即使以太坊吞吐量增加，这种需求也未必消失。围绕兼容性的争论更具体：早期把 Arbitrum 或 Optimism 加到钱包里，往往只需改链 ID；接入 Solana 则要重做许多库和交易处理。可随着各条 L2 加入自定义 gas 参数、不同交易类型和专有 API，这种接入优势也会被侵蚀。L2 的互操作性是程度问题，不是永久不变的属性。

生态同样是约束。节目提到，dYdX 曾在 Starknet 上运行，后来转向 Cosmos；一家链上若只有单一应用，用户可能随应用离开。反过来，为了留住应用而同时控制底层、应用和流量，又会把网络推向更强的垂直整合。主持人没有就 Starknet 的选择达成结论：有人把独立链视为押注抗量子和新技术的实验场，有人认为用户体验与结算层仍给 L2 留有位置。

智能合约钱包与代理式界面

最后，讨论回到钱包。有人预计智能合约钱包会因通行密钥、账户抽象和 gas 代付而重新获得机会。设想中的界面不是让用户逐个网站发送交易，而是由用户表达意图，钱包代表用户完成路由和签名；这个设想依赖 AI 足以理解跨应用操作，节目把它描述为条件性的预测。

另一位主持人提醒，现有钱包、DApp 和确认界面的作用正是把风险切小。代理能在签名前模拟交易流程、解释警告，这或许能减少部分误操作；它也会成为新的攻击入口。她因此接受交互方式会变化，却不认为这必然要求智能合约钱包成为唯一载体。和 Ledger 事件一样，问题不在于找到一个能替代全部环节的安全装置，而在于明确哪些步骤由机器代办，哪些授权仍需要用户可理解、可验证地作出。