Ledger证实，在对涉及东南亚经销商 CryptoBilis 的失窃指控展开的10月10日调查中，公司在一名受影响客户的加密货币钱包内发现了未经授权的硬件植入，区块链研究人员估算，相关疑似损失超过8600万美元。

• Ledger证实，在对 CryptoBilis 的调查中，受影响客户设备内发现了未经授权的硬件植入。
• 在 Ledger 调查涉及亚洲客户的报告损失期间，CryptoBilis 暂停了所有硬件钱包销售。
• Ledger 建议持有 CryptoBilis 设备的客户不要进行初始化，并建议其他用户使用新的恢复短语。
• 研究员 Mark Karpelès 报告称，他在马来西亚一台 Ledger Nano X 屏幕后方发现了可疑电子元件。
• Bitquery 估算，311个钱包中的加密货币损失合计为9290万美元，但该数字未获 Ledger 独立确认。

Ledger Support 在一份官方声明中确认了这一发现，称这台被改动的设备属于一名受持续调查影响的用户。公司表示，作为预防措施，CryptoBilis 已停止销售所有硬件钱包，Ledger 正在联系受影响客户，并与有关当局合作。目前尚未确定该植入是否导致了报告中的加密货币损失。

这一发现为至少一台设备存在物理篡改提供了直接证实，此前外界已就经由该经销商分发的可疑钱包发出警告。

Ledger证实客户钱包中存在未经授权的植入

在调查过程中，Ledger 在一名受影响客户的钱包中发现了额外的电子元件。

公司将该元件描述为“未经授权的硬件植入”，但没有披露具体设备型号、元件如何被安装，或其是否传输了任何信息。

根据 Ledger 10月10日的声明，其安全团队正在审查这一事件，并联系被认为可能受影响的客户。该制造商尚未确认有多少钱包存在类似改动。

10月9日，购买了通过 CryptoBilis 购买 Ledger 产品的客户开始报告未经授权的交易。CryptoBilis 是一家在印度尼西亚、马来西亚和菲律宾运营的经销商。收到投诉后，Ledger 就报告的损失展开调查，并要求该分销商暂停其设备的销售和发货。

The Block 随后报道称，链上调查人员最初识别出的疑似失窃金额超过7200万美元，而另一项估算则将损失上调至8600万美元以上。

Ledger 没有确认这两个数字。公司在最新声明中强调，没有证据表明其内部安全基础设施、系统或服务遭到入侵。

“我们没有迹象表明 Ledger 的安全基础设施、系统或服务遭到入侵，”公司表示。

该制造商正在开发额外保护措施，以防止设备遭到物理篡改，同时调查人员继续查明未经授权的元件是如何进入受影响钱包的。

CryptoBilis 在调查期间暂停所有硬件钱包销售

在 Ledger 发现这一情况后，CryptoBilis 证实已暂停其全部硬件钱包库存的销售。

这一临时停售涵盖该分销商销售的所有硬件钱包产品，范围超出此前要求暂停 Ledger 设备销售和发货的措施。

据 TokenPost 10月10日报道，CryptoBilis 将维持暂停状态，直至调查结束。

Ledger 表示，其正就调查及后续措施与该经销商保持积极沟通。通过 CryptoBilis 购买设备的客户如果尚未开始设置设备，被要求不要开始初始化。

对于已经使用过这些设备的客户，Ledger 建议考虑将其加密货币转移到一台以全新恢复短语初始化的新硬件钱包中。将现有恢复短语迁移到替换设备上，并不能解决原始硬件可能泄露该短语的问题。

公司还要求任何掌握相关证据的人提供信息，并将安全研究人员引导至其漏洞赏金计划邮箱 [email protected]。Ledger 已联系执法部门，并承认 Security Alliance 的 SEAL_911 事件响应计划提供了协助。

公司声明未指认任何嫌疑人、宣布逮捕，也未给出完成调查的时间表。另据称，前 CryptoBilis 高管 Arravind Prabu 和 Vimalatheethan 表示，他们在2026年早些时候的所有权变更后，已将业务运营控制权移交。

他们在一份与研究员 Mark Karpelès 分享、并由 Tibane Labs 发布的声明中表示，他们已于3月完成管理交接，不再控制公司系统或客户数据库。

该声明并不能证明是谁修改了受影响设备，也不能证明所有权变更与此次事件有任何关联。

安全研究员报告称在 Ledger 屏幕后方发现隐藏电子元件

在 Ledger 公开确认该硬件植入之前，前 Mt. Gox 首席执行官 Mark Karpelès 报告称，他检查了一台来自马来西亚的可疑 Ledger Nano X 设备。Karpelès 在10月9日表示，他发现一个额外的电子元件隐藏在设备显示屏后方，位于通常用于保护屏幕的材料内部。

他称，该钱包到货时包装看起来完好无损，这引发了一个问题：客户是否能够通过常规目视检查识别出被改动的设备。在他公开分享的照片中，该元件似乎包含独立于钱包原始硬件之外的电子电路。

Karpelès 随后进一步检查了这一改动，并审视了其他受影响用户提供的图片。

Tibane Labs 发布的一份技术说明描述了一种涉及微控制器、蜂窝通信硬件以及与屏幕内部数据线连接的装置。该分析认为，位于屏幕连接处的元件可能会捕获钱包设置过程中显示的信息。

恢复短语通常由24个单词组成，可让钱包持有人恢复对加密货币持仓的访问权限。如果攻击者获得这些单词，就可能在没有原始硬件设备的情况下重建钱包并授权转账。

研究人员认为，能够读取发送至显示屏信息的植入装置，理论上可能在钱包初始化时捕获恢复词。

不过，Ledger 尚未独立确认该植入是否执行了这一功能，也未确认其是否导致了报告中的失窃。

公司的官方公告证实，一台受影响设备存在物理篡改，但并未确定攻击者访问客户资金所使用的技术方法。Ledger 过去的安全研究曾研究过涉及钱包硬件未经授权改动的情况。

在2018年的一次安全响应中，该制造商讨论了攻击者如何在获得物理接触后修改钱包，并使用额外电子元件干扰其运行。此前研究涉及不同的攻击场景，并未与 CryptoBilis 调查建立关联。

链上研究人员估算疑似失窃金额达数百万美元

在调查人员检查受影响硬件的同时，区块链分析研究人员试图计算从疑似受害者钱包中转移的加密货币价值。

Bitquery 在10月9日的一项调查中估算，约9290万美元已从比特币、以太坊、TRON、BNB Chain 和 Polygon 上的311个钱包中被转移。

这一估算高于此前7200万美元至8600万美元以上的疑似损失报告。Bitquery 将差异归因于其分析中纳入了更多钱包和区块链网络。研究人员称，疑似损失中最大部分涉及 TRON 上的 USDT 交易，其次是比特币和以太坊转账。

报告称，约7050万美元资产从 TRON 钱包中转出，另有1680万美元为比特币。Bitquery 通过交易时间和地址关系认为，这些活动与攻击者已经控制多个钱包的情况一致。

该研究公司识别出多个网络上时间接近的交易，并检查了转移资产随后流向何处。Bitquery 报告称，约1000万美元 USDT 已被冻结在与疑似失窃相关的地址中。

它还识别出涉及加密货币兑换以及转入 Tornado Cash 的交易。Tornado Cash 是一种用于掩盖数字资产交易历史的服务。该分析仍属于独立评估，Ledger 并未确认 Bitquery 的损失估算、受害者数量或对攻击者的结论。

PublicAML 最近的链上报告还描述了10月10日与疑似被盗以太币相关的进一步流动，包括转入 Tornado Cash。该分析估计，另一次转移中有900 ETH 进入 Tornado Cash，但研究人员的钱包归因和损失计算仍独立于 Ledger 的已确认发现。

Ledger 敦促用户保护恢复短语

Ledger 的调查引发了人们对犯罪分子利用公众对该经销商事件的担忧进行诈骗的警告。公司提醒客户，只应依赖官方沟通渠道获取有关受影响设备、调查和潜在安全措施的信息。其公开声明还提醒客户，Ledger 支持人员绝不会要求提供24个单词的恢复短语。

此前针对虚假 Ledger 网站的研究记录了试图通过伪造钱包验证请求获取恢复短语的钓鱼页面。

这份于10月11日发布的报告讨论了恶意 Google 广告，这些广告将用户引导至仿冒的 Ledger 网站和应用程序。该钓鱼活动尚未与 CryptoBilis 硬件调查建立关联。在最新通知中，Ledger 表示正在准备额外措施，以使未经授权的物理改动更难实施。

公司没有宣布这些保护措施的发布日期，也没有提供任何硬件重新设计的细节。对于寻求指导的客户，Ledger 将咨询引导至其官方支持网站 support.ledger.com。

其安全团队表示，在调查推进期间，受影响用户将继续收到直接沟通，而有关该事件的信息可通过其漏洞赏金计划提交。