随着数字资产安全风险不断变化，攻击者的目标不再局限于交易平台和用户账户，硬件钱包的采购、运输和交付环节也可能成为攻击入口。
如果设备在流通过程中被截获、调包或恶意改装，即使外观与正规产品没有明显区别，也可能给用户的资产安全带来隐患。
Gate 提醒广大用户：购买和使用硬件钱包时，不要只关注品牌和价格，还应重视设备来源、交付渠道以及后续的安全验证。
一、什么是硬件供应链投毒？
硬件供应链投毒，是指攻击者利用设备生产、仓储、运输、经销或交付等环节的漏洞，对设备进行调包、篡改或植入恶意组件。
例如，用户通过正常渠道购买硬件钱包，但设备在运输或转售过程中被第三方截获。攻击者可能改装内部组件、篡改固件，或者伪造包装和官方文件，再将设备交付给用户。
还有一些攻击会配合钓鱼手段进行。攻击者可能寄送所谓的安全通知，要求用户安装指定软件、扫描二维码或重新导入钱包。一旦用户按照指引输入助记词或私钥，资产就可能面临被盗风险。
Kraken Security Labs 曾公开披露针对 Ledger Nano X 硬件钱包的供应链攻击研究，指出设备可能在用户收到之前遭到篡改，例如在运输过程中被截获，或通过恶意转售渠道流入用户手中。截止文章更新日期公开信息中，Ledger Connect Kit 前端依赖包被供应链攻击：已确认有问题的版本ledgerhq/connect-kit：1.1.5、1.1.6、1.1.7，这些版本曾被植入恶意代码，用来在用户连接钱包、与 DApp 交互时诱导/替换交易，从而盗取资产。参考：从供应链异常到疑似硬件植入：Ledger 用户被盗事件全解析
需要注意的是，包装完好、设备能够正常启动，并不代表设备一定安全。 部分恶意改装可能很难通过肉眼识别。
二、硬件供应链攻击有哪些风险？
硬件钱包的核心作用，是帮助用户更安全地保管私钥并完成交易签名。如果设备本身遭到篡改，原有的安全防护就可能受到影响。
设备被植入恶意组件： 恶意组件或被篡改的固件可能干扰设备正常运行，增加信息泄露和交易安全风险。
仿冒软件诱导操作： 攻击者可能通过伪造的钱包管理软件、虚假升级通知或客服指引，诱导用户主动交出助记词和私钥。
资产控制权被窃取： 一旦攻击者获得有效的助记词或私钥，就可能在其他设备上恢复钱包并转移资产。
即使用户的交易平台账户启用了双重验证，也不能完全防范硬件设备被篡改或钱包凭证泄露所带来的风险。账户安全、设备安全和私钥管理需要分别做好，不能相互替代！
三、如何降低风险？
通过可信渠道购买设备
购买硬件钱包时，尽量选择品牌官方网站或经过核实的授权渠道。对于来源不明、价格明显异常，或无法核实销售资质的设备，应保持警惕。
收到设备后先检查，再使用
检查包装、封条、序列号及设备外观是否存在异常，并通过厂商官方渠道核实设备信息。首次使用时，应按照官方说明完成初始化和固件验证。如果设备已经完成初始化、验证失败或操作流程异常，不要急于导入资产。
保护好助记词和私钥
助记词和私钥是控制钱包资产的关键信息。任何人都不应要求用户通过聊天、邮件、网页或远程协助提供这些信息。
无论对方自称是 Gate 客服、硬件厂商还是安全人员，都不要轻信其索要助记词或私钥的要求。助记词也不应输入来源不明的网站或软件。
不要随意安装软件或更新固件
设备连接、软件安装和固件升级，应以厂商官方渠道提供的信息为准。对于陌生链接、二维码、非官方升级包以及要求紧急迁移资产的通知，应先核实真伪，不要因为对方声称账户存在风险就仓促操作。
发现异常，立即停止使用
如果设备存在拆改痕迹、固件验证失败或初始化异常，应暂停使用，并联系厂商官方支持渠道核实情况。
如果怀疑助记词或私钥已经泄露，应使用可信且未受影响的设备，在安全环境下创建新的钱包，并尽快将资产转移至安全地址。不要继续使用可能已被篡改的设备处理资产，也不要在疑似受感染的设备上输入新的钱包凭证。
四、Gate 安全提示
硬件供应链攻击的隐蔽性较强，风险可能在您拿到设备之前就已产生。因此，不能仅凭品牌标识、包装是否完整或设备能否正常启动，就认定设备绝对安全。
Gate 提醒用户，在购买和使用硬件钱包时，应认真核实设备来源，谨慎处理陌生通知，妥善保管助记词和私钥。遇到无法确认真伪的设备、软件或操作指引时，应先核实，再操作。
请牢记：设备来源要可靠，软件更新要核实，助记词和私钥绝不外泄。
做好这些基本防护，才能更好地降低硬件供应链攻击带来的资产风险。
免责声明
本文内容仅供参考与学习目的，不构成任何金融、投资、交易或法律建议，也不构成购买或出售任何数字资产的要约或邀请。Gate 对文中信息的准确性、完整性或时效性不作任何明示或暗示的保证。产品功能、界面、规则及费率等信息可能随时更新或调整，请以 Gate 平台的最新公告及实际页面展示为准。
数字资产投资涉及高风险，价格可能出现大幅波动，您可能损失全部投入资金。请在充分了解相关风险的基础上，根据自身财务状况和风险承受能力谨慎决策。如有需要，建议您咨询独立的专业财务或法律顾问。
有关更多风险信息，请参阅 Gate 《风险警示》及 《用户协议》。
