隨著數位資產安全風險不斷演變，攻擊者的目標已不再侷限於交易平台和使用者帳戶，硬體錢包的採購、運輸與交付環節也可能成為攻擊入口。
若設備在流通過程中遭到攔截、調包或惡意改裝，即使外觀與正規產品沒有明顯差異，也可能為使用者的資產安全帶來隱憂。
Gate 提醒廣大使用者：購買及使用硬體錢包時，不要只關注品牌與價格，也應重視設備來源、交付管道及後續的安全驗證。
一、什麼是硬體供應鏈投毒？
硬體供應鏈投毒，是指攻擊者利用設備生產、倉儲、運輸、經銷或交付等環節的漏洞，對設備進行調包、竄改或植入惡意元件。
例如，使用者透過正常管道購買硬體錢包，但設備在運輸或轉售過程中遭第三方攔截。攻擊者可能改裝內部元件、竄改韌體，或偽造包裝及官方文件，再將設備交付給使用者。
還有一些攻擊會結合釣魚手法進行。攻擊者可能寄送所謂的安全通知，要求使用者安裝指定軟體、掃描 QR Code 或重新匯入錢包。一旦使用者依照指引輸入助記詞或私鑰，資產就可能面臨遭竊風險。
Kraken Security Labs 曾公開揭露針對 Ledger Nano X 硬體錢包的供應鏈攻擊研究，指出設備可能在使用者收到前便遭到竄改，例如在運輸過程中被攔截，或透過惡意轉售管道流入使用者手中。截至文章更新日期的公開資訊顯示，Ledger Connect Kit 前端依賴套件曾遭供應鏈攻擊：已確認有問題的版本ledgerhq/connect-kit：1.1.5、1.1.6、1.1.7，這些版本曾被植入惡意程式碼，用於在使用者連接錢包、與 DApp 互動時誘導／替換交易，進而竊取資產。參考：從供應鏈異常到疑似硬體植入：Ledger 使用者資產遭竊事件全解析
需要注意的是，包裝完整、設備能夠正常啟動，並不代表設備一定安全。部分惡意改裝可能很難透過肉眼辨識。
二、硬體供應鏈攻擊有哪些風險？
硬體錢包的核心功能，是協助使用者更安全地保管私鑰並完成交易簽名。若設備本身遭到竄改，原有的安全防護便可能受到影響。
設備被植入惡意元件：惡意元件或遭竄改的韌體可能干擾設備正常運作，增加資訊外洩及交易安全風險。
仿冒軟體誘導操作：攻擊者可能透過偽造的錢包管理軟體、虛假的升級通知或客服指引，誘導使用者主動交出助記詞及私鑰。
資產控制權遭竊取：一旦攻擊者取得有效的助記詞或私鑰，便可能在其他設備上還原錢包並轉移資產。
即使使用者的交易平台帳戶已啟用雙重驗證，也無法完全防範硬體設備遭竄改或錢包憑證外洩所帶來的風險。帳戶安全、設備安全及私鑰管理需分別做好，無法互相取代！
三、如何降低風險？
透過可信管道購買設備
購買硬體錢包時，請盡量選擇品牌官方網站或經核實的授權管道。對於來源不明、價格明顯異常，或無法核實銷售資格的設備，應保持警覺。
收到設備後先檢查，再使用
請檢查包裝、封條、序號及設備外觀是否存在異常，並透過廠商官方管道核實設備資訊。首次使用時，應依照官方說明完成初始化及韌體驗證。若設備已完成初始化、驗證失敗或操作流程異常，請勿急於匯入資產。
妥善保護助記詞及私鑰
助記詞及私鑰是控制錢包資產的關鍵資訊。任何人都不應要求使用者透過聊天、電子郵件、網頁或遠端協助提供這些資訊。
無論對方自稱是 Gate 客服、硬體廠商或安全人員，都不要輕信其索取助記詞或私鑰的要求。助記詞也不應輸入至來源不明的網站或軟體。
不要隨意安裝軟體或更新韌體
設備連接、軟體安裝及韌體升級，應以廠商官方管道提供的資訊為準。對於陌生連結、QR Code、非官方升級套件，以及要求緊急轉移資產的通知，應先核實真偽，不要因對方聲稱帳戶存在風險就倉促操作。
發現異常，立即停止使用
若設備有拆改痕跡、韌體驗證失敗或初始化異常，應暫停使用，並聯絡廠商官方支援管道核實情況。
若懷疑助記詞或私鑰已經外洩，應使用可信且未受影響的設備，在安全環境下建立新的錢包，並盡快將資產轉移至安全地址。不要繼續使用可能已遭竄改的設備處理資產，也不要在疑似受感染的設備上輸入新的錢包憑證。
四、Gate 安全提示
硬體供應鏈攻擊的隱蔽性較高，風險可能在您取得設備之前便已產生。因此，不能僅憑品牌標誌、包裝是否完整或設備能否正常啟動，就認定設備絕對安全。
Gate 提醒使用者，在購買及使用硬體錢包時，應仔細核實設備來源，謹慎處理陌生通知，妥善保管助記詞及私鑰。遇到無法確認真偽的設備、軟體或操作指引時，應先核實，再操作。
請牢記：設備來源要可靠，軟體更新要核實，助記詞及私鑰絕不外洩。
做好這些基本防護，才能更有效降低硬體供應鏈攻擊帶來的資產風險。
免責聲明
本文內容僅供參考與學習目的，不構成任何金融、投資、交易或法律建議，也不構成購買或出售任何虛擬資產的要約或邀請。Gate 對文中資訊的準確性、完整性或時效性不作任何明示或暗示的保證。產品功能、介面、規則及費率等資訊可能隨時更新或調整，請以 Gate 平台的最新公告及實際頁面展示為準。
虛擬資產投資涉及高風險，價格可能出現大幅波動，您可能損失全部投入資金。請在充分了解相關風險的基礎上，根據自身財務狀況和風險承受能力謹慎決策。如有需要，建議您諮詢獨立的專業財務或法律顧問。
有關更多風險資訊，請參閱 Gate《風險警示》及《用戶協議》。
