一名巴西安全研究员披露，一批伪造的 Ledger Nano S Plus 已被改造为可窃取加密资产的硬件工具。问题不只出在外观仿冒。拆机结果显示，这类设备的内部电路经过修改，攻击者借此获取用户输入的恢复短语，也就是常说的助记词。
这名在 Reddit 上使用“Past_Computer2901”昵称的研究员表示，他在一家中国��商平台购入了一台看起来与正品无异的设备，包装和售价都接近官方零售标准。但当设备连接官方 Ledger Live 桌面应用后，未能通过“Genuine Check”真伪校验，异常随即暴露。
拆机后发现额外 WiFi 与蓝牙组件
研究员对设备进行物理拆解后发现，主板上被加入了 WiFi 和蓝牙天线，而这些功能本不应出现在正版 Nano S Plus 上。更异常的是，设备内还藏有一枚来自其他厂商的芯片，原有标识被刻意刮除，以增加识别难度。
设备在启动阶段一度将自己识别为 Nano S Plus 7704，但在最后的启动序列里，制造商信息却显示为 Espressif Systems。该公司是一家总部位于上海的半导体企业。对 Ledger 这类硬件钱包来说，这种改装直接破坏了其核心安全设计，因为私钥本应始终保留在严格离线的环境中。
包装内二维码把用户导向假 Ledger Live
这类骗局的关键，不只是篡改硬件，还包括配套的软件诱导流程。研究员��出，包装内附带的二维码会把用户导向一个伪造版 Ledger Live 应用。该应用被设计成可绕过安全警告，并向用户展示虚假的设备验证结果，让第一次接触硬件钱包的买家误以为设备已经通过认证。
一旦用户按照页面提示生成或输入种子短语，遭篡改的固件就会记录这些信息。攻击者随后便可控制相关钱包资产，并在任意时点发起转移。研究员写道：“这不是为了制造恐慌，而是一次严肃警告——说实话，我仍然对这次操作的规模感到震惊。”
Ledger：绝不会索要 24 个助记词
Ledger 发言人对 crypto.news 表示，用户在市场平台购买设备时，应先核验卖家身份，并只通过官方渠道下载 Ledger 钱包应用，桌面端和移动端都一样。该发言人称，此次事件涉及伪造硬件与虚假配套应用的组合，整套引导流程都通过非官方渠道分发，目的就是模拟正常的初始化过程。
Ledger 还强调，Ledger 绝不会要求用户提供 24 个单词。如果任何自称 Ledger 的个人，或任何号称是 Ledger 应用的软件索要这 24 个单词，用户应立即将其视为诈骗。研究员也提���称，Ledger Live 只能从 ledger.com 下载，硬件也应只从 ledger.com 购买；如果设备未能通过 Genuine Check，应立刻停止使用。
此前还有假应用骗取恢复短语
这起发现之前，本月早些时候还发生过另一起相关事件：一款欺诈应用通过“bait-and-switch”手法绕过了苹果 App Store 的安全审核。该恶意软件诱骗了 50 多人 交出恢复短语，在被平台下架前，已造成 950 万美元 资产被盗。苹果表示，这款应用后来已因恶意 bait-and-switch 功能被移除。
两起事件虽然手法不同，但核心目标一致：绕过用户对“官方流程”的信任，拿到助记词。对硬件钱包用户来说，设备来源、应用下载地址，以及初始化过程中是否被索要恢复短语，都是最直接的风险识别点。