据PANews报道，2026年10月9日，链上侦探Specter监测到X和Reddit上密集出现Ledger用户钱包被盗的报告。追踪显示，涉案地址从比特币、以太坊、波场等多条链上归集资金，累计损失在8600万至9300万美元以上。随后Ledger确认，所有已核实案例都指向东南亚经销商CryptoBilis销售的设备，并在一台受影响设备中发现了未经授权的硬件植入物。
这不是代码漏洞，也不是钓鱼链接或用户操作失误。攻击者没有尝试破解Ledger的加密体系，而是在设备到达用户手中之前，在包装内加入了额外硬件。
攻击如何绕过安全元件
硬件钱包的安全逻辑是私钥在安全元件内生成且永不导出，用户抄写的24个助记词是恢复钱包的唯一凭证。此次攻击并未针对安全元件，而是盯上了安全元件管不到的地方——屏幕。
Mt.Gox前CEO Mark Karpelès拆开一台包装完好的设备后，在屏幕衬垫下发现了一个小模块：一枚接在屏幕SPI数据线上的微控制器、一块带eSIM的LTE模块以及一根天线。其运作逻辑是：助记词在安全元件内正常生成并显示在屏幕上等待用户抄写时，恶意模块接入屏幕数据线同步截取屏幕输出内容，完整记录24个助记词，再通过LTE或eSIM发送给攻击者，攻击者随后直接清空资产。
关键在于，Ledger的正品校验能够通过。安全元件是真的，助记词是真的，签名也是真的。恶意模块只在屏幕刷新时窃听，不触碰安全元件的任何数据流。设备在数字层面完全正品，但在物理层面已被读取。
植入方案已迭代三代
这套植入方案并非临时起意。第一代改装依靠手工焊接细线，飞线直接搭在原厂电路上，为腾出空间电池被换成更小容量型号。第二代改用可弯折的薄型专用电路板，布线简化，但电池仍需换小。第三代最为隐蔽，原装电池、原装主板、原装按键都在，外观与普通Nano X无异，唯一破绽是机壳顶部边缘多了一条细细的黑色天线。
这套设计明显面向批量装配，具备研发、迭代和供应链组织能力。
被盗资金流向与追踪窗口
据Bitquery链上追踪，被盗资金总量约9320万美元，分布在6条链上的315个钱包中。仅Tornado Cash一条路径就处理了约2990 ETH，提款后进一步转入Zcash隐私池。与此同时，Tether冻结了约1000万美元涉案USDT，攻击者随即把部分USDT换成USDD。资金流向呈现先归集、再拆分、后混币的特征，并通过ChangeNOW、FixedFloat等即时兑换服务进一步清洗。
需要指出的是，被冻结的USDT不等于被追回，冻结只是阻止转移，返还仍需走调查、验证和执法协作流程。目前仍有约700 ETH留在原始地址未动。
用户应如何应对
Ledger官方给出的判断标准是：过去90天内从CryptoBilis购买设备的用户，尚未初始化的不要设置；已经设置的，考虑把资产转移到新的Ledger签名器，并使用全新助记词。设置过程中若设备到手就已初始化、包装内附带印好或写好的助记词卡片，或任何网站、二维码、纸质卡片要求输入其提供的助记词，应立即停用。
物理检查方面，Nano X等可拆型号正品应搭载STM32WB35芯片，电路板上不应有任何额外芯片；Stax、Flex、Nano Gen5等不可拆型号可检查外壳边缘有无裂缝、切口或缝隙。但外壳完好并不能排除被动过手脚的可能。
CryptoBilis已暂停所有硬件钱包库存的销售和发货，调查仍在进行中。Ledger也提醒经销商只走授权渠道采购，切勿重新上架退货产品。此外，已有仿冒账号散播虚假警告并引导用户点击钓鱼链接，用户应只认Ledger官方渠道。
此次事件的核心问题在于，安全元件保护的是私钥不被数字方式提取，但保护不了屏幕、包装以及从工厂到用户手中的物流链条。当攻击发生在物理层，设备即使通过所有软件校验，也可能已被读取。
声明：文章不代表CHAINTT观点及立场，不构成本平台任何投资建议。投资决策需建立在独立思考之上，本文内容仅供参考，风险 自担！转载请注明出处：https://www.chaintt.cn/71672.html