Ledger确认，一台与近期加密货币失窃有关的设备中存在未授权硬件植入。公司表示，截至目前确认的案例都涉及由东南亚转售商 CryptoBilis 售出的钱包。

链上研究者估计，超过300个钱包共被盗走8600万至9300万美元，不过 Ledger 表示，其内部系统和直销渠道并未遭到入侵。

Ledger 建议 CryptoBilis 客户不要初始化未使用的设备，并要求已经启用钱包的用户，将资金迁移到一台直接从 Ledger 获得的新设备上，并使用新的助记词。

Ledger 这家加密钱包制造商证实，一台与近期用户资金损失有关的设备中含有未授权硬件植入。公司称，截至目前确认的所有案例都涉及通过东南亚转售商 CryptoBilis 分销的产品。

Ledger Support 在10月10日发布的声明中表示：“Ledger 可以确认，受影响用户的设备之一含有未授权硬件植入。”公司补充称，正在积极联系受影响用户，作为持续调查的一部分；CryptoBilis 已暂停所有硬件钱包库存的销售，直至调查结束。

此次确认存在物理植入，意味着此前关于供应链篡改的猜测首次获得了具体证据支持。

这一事件最早在周五曝光，当时 Ledger 承认正在调查通过 CryptoBilis 购买设备的客户资金失踪报告。CryptoBilis 在印度尼西亚、马来西亚和菲律宾开展业务。

虽然 Ledger 尚未确认官方损失金额，但第三方链上研究者估计，跨多个区块链的损失在8600万至9300万美元之间，涉及超过300个钱包，包括比特币、以太坊和 Tron。公司重申，没有迹象表明其内部安全基础设施、系统或服务遭到破坏。

Ledger 表示，周日已与相关当局展开合作。公司还提醒其分销网络，产品必须仅通过授权渠道采购，并严格禁止重新上架退回产品。

公司重申了此前面向通过 CryptoBilis 购买设备的客户的安全建议：“不要初始化未使用的设备。如果已经设置，请在一台来自 Ledger 的设备上迁移到新的助记词。”公司敦促受影响用户联系官方 Ledger Support，并向当地执法部门报案。

Ledger 还警告称，诈骗者往往会试图利用此类事件，提醒用户公司绝不会打电话、私信，或索要他们的24个单词恢复短语。

钱包真的能 SAFU 吗？

Ledger 事件再次引发了业界对硬件钱包安全性的更广泛讨论。2022年 FTX 交易所倒闭后，数百万投资者将资产转向自托管，严重依赖 Ledger 和 Coinkite（Coldcard 的制造商）等公司生产的实体硬件钱包，以让私钥完全离线保存。

不过，实际情况是，物理存储并非没有漏洞。

2026年7月，Coldcard 的助记词生成固件存在缺陷，导致攻击者得以转走估计1亿至1.3亿美元的比特币，链上研究者数据显示。

在这起最新攻击中，Ledger 坚称，物理篡改严格局限于 CryptoBilis 分销的那一批产品，并正在采取必要措施避免此类风险。

Ledger 在10月11日的帖子中表示：“安全并非静态，这起事件凸显了我们为何要持续审查并加强分销和防篡改流程。”

公司补充称，正在审查授权转售商控制措施、推进硬件防护，并呼吁行业在交付链管理实践方面作出更广泛改进。

尽管如此，关于供应链究竟如何被攻破的猜测仍在流传。

币安联合创始人赵长鹏（CZ）在 X 上发帖称，攻击者“显然买下了转售商，并让他们签署保密协议以保持沉默”。

这些说法尚未得到独立核实。CryptoBilis 对就该事件及赵长鹏的具体指控发表评论的请求未立即作出回应。