硬件加密货币钱包制造商Ledger遭骇客入侵，逾27万用户资料在骇客论坛上曝光

硬件加密货币钱包制造商Ledger于今年7月遭到骇客入侵，当时Ledger聘请了外部的鉴识专家，判断有9,500名用户的个资外泄，然而，骇客在12月20日骇客论坛上公布了逾27万名的Ledger用户资料，才让Ledger得知当时的估算太少，于本周重新发布了安全声明。

根据Ledger最新的调查，骇客在今年7月入侵了该平台的行销与电子商务数据库，存取了约100万名订阅电子报的用户电子邮件账号，更严重的是，骇客也存取了27.2万名订阅了Ledger服务的用户资料，包括他们的电子邮件账号、姓名、电话号码、地址，以及所购买的产品类别。

Ledger的主力商品为加密货币硬件钱包，可用来存放、管理与销售加密货币，由于它平常并未连上网络，因此又被称为冷钱包，透过由24个单字所产生的恢复码（Recovery Phrase）进行保护，亦可添增短语密码。

不过，在今年7月时，由于错估了受害规模，因此当时Ledger只通知9,500名用户，直至本周才知道原来受害规模高达27.2万名用户。

根据Bleeping Computer的报导，骇客早就利用外流的资料展开网钓攻击，以Ledger首席执行官为名寄出网钓邮件，宣称使用者的个人资讯、公钥与加密的私钥都被存取，要求使用者透过邮件内的连结下载最新的Ledger Live版本，企图窃取使用者的恢复码与短语密码。

而Ledger亦指出，在今年7月发生资料外泄意外之后，该公司已聘请了资讯安全长，同时亦与执法机关合作，在短短的几个月就破获了超过170个网钓网站。

此外，Ledger强调，此一意外外泄的只是用户的个人资讯，至于付款资讯、凭证或用户所存放的加密货币都未受到影响，该公司的硬件钱包或Ledger Live程式皆未受到波及，用户的加密货币资产安全无虞，另也提醒使用者要小心任何伪装成Ledger以要求使用者输入恢复码的网钓行为，声明该公司从未也不会要求使用者提供恢复码。