Ledger 钱包被黑事件：经销商售出的设备遭植入，8600 万美元被盗

2026 年 10 月 9 日登上新闻的 Ledger 钱包被黑事件，并不是 Ledger 芯片被攻破。公司正在调查东南亚客户的资金损失，这些客户的设备购自经销商 CryptoBilis；链上分析师估计损失为 7200 万至 8600 万美元，而 Ledger 既未确认金额，也未确认原因。此前一天，Mt.Gox 前负责人 Mark Karpeles 公布了 Tibane Labs 的研究：两台 Nano X 内含硬件植入物，它从显示总线上读取助记词，并通过蜂窝网络发送出去。安全芯片从未被触碰；秘密是在通往屏幕的路上泄露的。下面讲已知的情况、植入物的工作原理，以及如果你的设备经过了中间商该怎么办。

核心要点

• 2026 年 10 月 9 日，Ledger 确认正在调查 CryptoBilis 设备买家的资金损失，并要求其停止销售；CryptoBilis 是印度尼西亚、马来西亚和菲律宾的授权经销商。
• 分析师 tanuki42 认定与盗窃相关的金额超过 7200 万美元；分析师 Specter 给出的数字超过 8600 万美元，涉及 Bitcoin、Ethereum 和 TRON。Ledger 没有确认这些数字，而且各项估算可能存在重叠。
• Tibane Labs 在两台购自日本的 Nano X 的屏幕下方发现了植入物：它在初始设置时读取 24 个恢复单词，并通过自带 SIM 卡和天线的蜂窝模块发送出去。
• Ledger 表示，自身的基础设施没有被攻破，也没有收到关于直接从公司购买的设备的投诉。
• 最近 90 天内从 CryptoBilis 购买的设备不应进行设置；已经激活的，应更换为新设备并使用新的助记词。

关键术语

• 硬件钱包 是一种物理设备，离线保存私钥并签署交易，私钥不会暴露给电脑或手机。
• 安全芯片 是 Ledger 设备内部经过认证的芯片，负责保存密钥并签署交易。
• 助记词 是初始设置时只显示一次的 24 个恢复单词；谁掌握它，谁就控制资金。
• 密码短语 是可选的第 25 个词，它会生成一组单独的账户，仅凭那 24 个词无法访问。
• 硬件植入物 是藏在设备内部的一块额外电路板，用来截获或传送数据。
• 正品验证 是 Ledger Live 应用中的一项验证，用来确认安全芯片是真品。

截至 10 月 12 日已知的情况

Ledger 表示，其基础设施、系统和服务都没有被攻破，也没有收到关于直接从公司购买的设备的投诉。它给出的建议很有针对性：最近 90 天内从 CryptoBilis 拿到设备且尚未设置的买家不要开始设置；已经激活钱包的人应考虑把资产转移到使用新助记词的新设备上。Binance 联合创始人赵长鹏把这起事件称为通过单一卖家实施的供应链攻击，也就是产品在制造商和买家之间被动了手脚的攻击。需要说明的是：损失估算来自匿名研究者，可能在地址上有重叠。

Ledger 钱包被黑事件背后的植入物如何工作

Tibane Labs 的研究涉及两台 Nano X。屏幕下方有一块额外的电路板，截获安全芯片与显示屏之间总线上的信号。初始设置时，设备会向用户显示 24 个恢复单词；植入物从显示信号中读取并识别这些单词，再通过内置的蜂窝模块发送给攻击者。

• 芯片完好无损。 安全芯片工作正常。植入物在信息通往屏幕的途中将其截获，因此正品验证发现不了这种改动。
• 这不是被篡改的固件。 设备上的代码是真品，固件更新既修不好也查不出这个问题：改动发生在硬件上，而不是软件上。
• 有好几代。 从早期带有外露导线的版本，到标有 v1.1、工业化生产的紧凑电路板。
• 设备的来源。 一台 Nano X 购自日本的 Yahoo! Auctions，另一台购自 Amazon Japan，包裹从马来西亚寄出。
• 与 CryptoBilis 的关联未获证实。 Tibane Labs 表示，它检查的设备与 Ledger 的调查无关。CryptoBilis 的前联合创始人告诉研究者，他们已在 2026 年 3 月把业务移交给新的所有者，此后再无访问权限。

行业媒体讨论的一种推测是：被植入的设备卖了好几个月，助记词被陆续收集，而当来自日本的警告公开后，被盗的密钥被一次性全部动用。这可以解释为什么几十个钱包在同一天被清空。

为什么这对 Ledger 不发货的地区都很重要

在没有官方配送的市场，包括俄罗斯，设备是通过中间商、电商平台和经销商到货的。CryptoBilis 的案例表明，授权经销商的标签并不是保证，而且从制造商到快递员的链条越长，包装盒可能被打开、内容被改动的环节就越多。

硬件钱包能保护密钥免受恶意软件和钓鱼的侵害，却防不住一台到手时里面已经有别人「眼睛」的设备。另一起设备被攻破的案例，是固件缺陷削弱了密钥生成，我们在这篇文章中讲过：硬件钱包安全。那一次的问题在于密钥是如何生成的；这一次在于密钥是如何泄露的。密码短语是一道部分屏障：24 个词会泄露，但第 25 个词是单独输入的，设置时从不显示在屏幕上。更先进的植入物也可能截获输入，所以它是降低风险，而不是消除风险。

如何检查你的设备

1. 回忆钱包是在哪里、什么时候买的。直接从制造商购买，或是 2026 年之前购入的旧设备，风险较低；经过中间商、电商平台，或是最近几个月购买的，就有理由采取行动。
2. 在 Ledger Live 中运行正品验证。这一步是必须的，但并不充分：它确认的是安全芯片为真品，而植入物并不触碰芯片。
3. 检查外壳：有无拆开的痕迹、接缝是否不平整、屏幕下方是否有多余的元件。研究者请受害者寄来电路板的照片，因为设备一拆开就能看到植入物。
4. 绝不要使用附带已填好的恢复卡、或者「已预先配置」的设备。单词必须在你亲自进行的首次设置中出现在你的屏幕上。
5. 如果有疑虑，就在一台供应链透明的设备上生成新的助记词，并把资产转移过去。旧地址一律视为已泄露。

Ledger 持有者现在该做什么

一起高调的事件总会带来第二波骗局：要预料到会收到「检查你的 Ledger 是否有植入物」和「通过此链接更新固件」之类的消息。没有任何制造商或研究者会索要助记词；这类信件长什么样，可以看我们的文章：SafePal 与 Trezor 的硬件钱包数据泄露，以及我们的指南：加密钓鱼骗局。除此之外，这次 Ledger 钱包被黑事件留给持有者一份简短的清单。

1. 最近 90 天内从 CryptoBilis 或任何不明中间商处购买、且尚未设置的设备：不要设置。
2. 已经激活、且不是直接购买的设备：把资产转移到新设备上，并使用在你自己屏幕上生成的新助记词。
3. 启用密码短语，并把它与那 24 个词分开保存。
4. 只通过可以追溯到制造商的链条购买硬件钱包，不要相信私人卖家手里「未拆封」的盒子：封条什么也证明不了。
5. 关注调查的官方进展，对有关「设备检查」的邮件、电话和消息一律不予理会。