黑客事件后，Ledger 将采取新的数据安全措施

Ledger 的新任首席信息安全官马特·约翰逊（Matt Johnson）遇到了大麻烦。他在入职的第一周就要仔细审查大量客户信息数据转储所产生的影响，以及数据安全和比特币暴涨所带来的潜在攻击风险等方面。

前段时间，Ledger 遭遇了有史以来最大的一次黑客事件。约翰逊刚任职一周，这家硬件钱包公司就宣布了第一批解决数据泄漏问题并确保这类黑客事件不会再次发生的措施。

这些措施包括与区块链分析公司 Chainalysis 合作查找黑客，悬赏 10 BTC 征集抓捕黑客的关键信息，并对 Ledger 公司持有的信息、信息的存储位置和存储时间进行全面审查。

与此同时，Ledger 宣布，由于其电商合作伙伴 Shopify 员工的恶意行为，2 万条新的用户记录，包括邮箱、姓名、通讯地址和手机号连同产品订购信息被泄漏。

Ledger 黑客事件

Ledger 公开透露，其客户信息已于 2020 年 7 月遭到攻击。当时，该公司估计有 9500 名客户成为这次黑客事件的受害者。在接下来的几个月，CoinDesk 报道了黑客的一系列网络钓鱼攻击，包括伪造 Ledger 官方邮件和消息。

据 CoinDesk 报道，在 2020 年 12 月，一次数据转储“泄露了 100 万个电子邮件地址和 27.2 万个订购 Ledger 设备（用于存储加密货币钱包的私钥）的用户的姓名、通讯地址和电话号码”。受害者人数远高于最初估计的 9500 人。

据报道，在数据转储发生后的几天，出现了大量 SIM 卡交换攻击。一些客户开始收到勒索邮件，包括暴力威胁。

在去年 12 月的一次采访中，Ledger 的 CEO 帕斯卡尔·高蒂尔（Pascal Gauthier）告诉 CoinDesk，这次黑客事件有一部分原因是公司扩展过于迅速，他和即将上任的 CISO 马特·约翰逊将宣布一项新的数据政策，并计划在 1 月进一步解决信息泄露问题。

现在，Ledger 已发布有关黑客事件的新信息，并透露这次事件有可能与其电子商务合作伙伴  Shopify 的恶意员工有关。

Shopify 的恶意员工

2020 年 12 月 23 日，Shopify 通知 Ledger 称“其支持团队内部的恶意成员获得了客户的交易记录，包括 Ledger 的客户在内，并于 2020 年 4 月和 6 月非法泄露客户的交易记录。”

Shopify 告诉 Ledger 称，它已经在 2020 年 9 月的事件披露中提到了这次信息泄露事件，涉及 200 多家商户。直到 2020 年 12 月 21 日，Shopify 才“发现 Ledger 也成为了这次攻击的受害者”。Shopify 告诉 Ledger，它正在继续调查，并且已将该问题上报给了执法部门。

Ledger 与法证公司 Orange Cyberdefense 一起审查了 29.2 万条被盗的数据记录。结果发现，虽然这次被盗的数据与上一次攻击中泄露的个人信息差不多，但是仍有 2 万条新的用户记录被泄露。

Ledger 称其已于 1 月 13 日通知相关客户。

黑客事件过后 Ledger 的数据安全性

首先，Ledger 在一篇博客中重申，该公司绝不会要求客户提供 24 个助记词。这些助记词可以用来访问比特币和加密钱包。该公司还强调，只要客户没有分享过这些助记词，他们的 Ledger 硬件设备就是安全的。

该博客的作者（包括新任 CISO 马特·约翰逊）写道：“我们要宣布 Ledger 在收集和处理客户数据方式上的变化：在合法情况下尽可能缩短存储个人数据的时间，最大程度上减少电子邮件中个人数据的显示，在隔离环境中尽快转移所需数据，并创建一个安全的渠道来通过 Ledger Live 与我们的客户进行 1 对 1 通信。

首先，Ledger 正在改变其存储数据的方式。约翰逊在一次采访中说，尽管他个人倾向于完全不保留任何用户数据，但是公司有依法保留用户数据的义务。约翰逊表示，Ledger 致力于达到比欧盟的《通用数据保护条例》（General Data Protection Regulation）要求的更高的隐私性。

约翰逊称：“我们的意思不是‘保留用户数据的时间比 GDPR 所要求的更久’。恰恰相反，我们的目标是，尽快删除姓名、地址和电话号码等数据，即使我们可以根据 GDPR 的规定保留这些数据。但是，为了履行法律义务， 如会计或税收要求，我们需要保留某些数据。这些数据将被进一步隔离，以限制其访问。”

 删除数据

未来，Ledger 将在订单完成后将数据从电子商务合作伙伴那里删除，并将客户数据转移至无法通过互联网访问的数据库，一等到合法就立即将这些数据删除。

该公司还将从发送给客户的确认邮件中删除姓名、地址和电话号码，以确保这类数据不会通过第三方电子商务邮件提供商外泄。

电子邮件和社交媒体仅用于发布营销信息和公告。Ledger Live 账户则专门用于交流技术和安全信息，这似乎是为了避免钓鱼式诈骗。在这类诈骗中，诈骗者会通过看似官方的邮件诱骗 Ledger 用户下载“重要安全更新”。

最后，约翰逊将对处理数据的第三方进行全面审查。

约翰逊在一次 Zoom 通话中表示：“我们将审查每一个我们需要与之分享数据或传输数据的第三方。”

约翰逊表示：“我们将仔细审查并确保所有流程都是恰当且周全的。既然我们将数据委托给他们，我们必须 100% 确保他们已经尽全力满足最低要求，最好能促使他们达到更高的要求。”

比特币赏金和执法

Ledger 正在与多个执法部门以及区块链分析公司 Chainalysis 合作。为了获取黑客的信息，它还专门设立了比特币赏金。

约翰逊表示：“我们正在追查线索，并尽我们所能在被盗资金进入交易所时将其找回。我们想要确保所有信息都是合法获取的，并且直接与执法机关共享。”

约翰逊称，Ledger 想要确保所有信息采集都是合法且“公开”的，以便起诉责任人。

本文还提到了比特币赏金，称这笔赏金将由 Ledger 酌情分配，并考虑多种因素。与约翰逊在评论中提到的一样，这些因素包括信息的获取方式是否合法、是否是新信息、信息有多详实，以及这些信息对于推进调查和胜诉起到多大作用。

Ledger 公司还希望与加密货币行业的其它公司和个人合作，共同资助这项赏金计划。该计划旨在建立一个通用赏金基金，专门打击加密货币行业的诈骗和钓鱼攻击。

约翰逊称：“我们正在积极尝试采取措施来保护并改善整个生态系统。”

在助记词泄露时保护用户的比特币

Ledger 工程团队正在开发一种产品，可以在“攻击者获得用户助记词的情况下保护用户的资金”。

Ledger 的全球客户关系负责人 Jerôme De Tychey 在一封电子邮件中表示，绝大多数钓鱼攻击的目标都是获取 Ledger Nano 所有者的 24 个助记词。诈骗者会利用受害者认为他们的资金受到威胁的恐慌时刻。在这种时刻，人们有可能会忘记重要的安全措施，尤其是在诈骗者伪装成 Ledger 客服的情况下。

De Tychey 在电子邮件中告诉 CoinDesk：“我们已经意识到这一问题。很快，我们就会发布一种技术解决方案，不再将助记词作为保护硬件钱包安全性的唯一支柱，同时引入资金保险。”接下来，如何以及何时阐明并实现这些变化将有助于重获用户信任。但是，这些变化表明，Ledger 的安全性在经历这场大范围数据泄漏事件后得到进一步提高，并且有利于整个加密货币社区。随着比特币和其它山寨币蓬勃发展，提高加密货币工具和产品的安全性是一个迭代的过程。

约翰逊表示：“人们总是会尝试探索新途径。因此，我们必须不断进行再评估，并扪心自问我们还可以采取什么措施来进一步提高安全性。Ledger 钱包还没有被攻破，因此攻击者将一直从人性角度寻找突破口。我们还可以采取什么措施来保护终端用户？因为这些都是活生生的人。”