Ledger于10月10日（周六）确认，一名受影响客户的硬件钱包中含有未经授权的硬件植入装置。该公司表示，这一发现源于其对与CryptoBilis（该公司设备的东南亚经销商）相关的加密货币盗窃报告的调查。这是Ledger首次确认受影响设备遭到物理篡改。该案涉及通过第三方经销商渠道分销的设备。

该公司表示，“其中一名受影响用户的设备中含有未经授权的硬件植入装置。”并补充称，“没有任何迹象表明Ledger的安全基础设施、系统或服务遭到入侵。”Ledger的客服账号表示，正在联系受影响用户并与有关部门合作。这一确认意义重大，因为硬件钱包的核心保护就是其助记词——即初始化时生成的单词序列，仅凭该序列即可在无需设备的情况下恢复用户资金的使用权限。

独立链上分析师和调查人员汇总的估计显示，可疑损失约为7200万至9340万美元。

在此披露之前，币安创始人赵长鹏“CZ”曾于前一天向硬件钱包购买者发出公开警告：

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently. Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

调查人员的发现

链上分析师Yfarmx估计可疑损失为9340万美元，涉及471个地址。Bitquery估计约为9290万美元，涉及311个地址；研究员Specter则表示损失超过8600万美元。链上调查人员tanuki42确认有超过7200万美元被转入据信与盗窃案相关的地址。Ledger尚未确认上述任何数字，调查人员也未确定受影响钱包的最终数量。

前Mt. Gox首席执行官Mark Karpelès公布了对一台被改装的Ledger Nano X的调查结果。他描述了一块隐藏的电路板和可截获助记词的蜂窝通信装置。根据这些发现，该装置会监控初始化期间发送到设备屏幕的数据，然后可通过蜂窝链路发送助记词。这一机制恰恰击中了硬件钱包本应发挥保护作用的关键时刻：初始化——即秘密短语被创建且设备是其唯一存在之处的时候。调查人员尚未证明每个受影响钱包都含有类似部件，目前也没有被篡改设备的最终统计数字。

经销商暂停销售和发货

在印度尼西亚、马来西亚和菲律宾开展业务的CryptoBilis已停止销售硬件钱包，直至调查结束。Ledger于10月9日要求经销商暂停销售和发货。此次暂停使人们注意到硬件钱包市场中的经销商环节——设备在到达买家手中之前需经过第三方分销。

该公司告知在过去90天内从该经销商处购买设备的客户不要初始化设备。已完成初始化的用户则被建议将资产转移至使用新种子的新Ledger签名设备。新种子会替换原始初始化时生成的助记词。

Ledger表示正在开发更强的防篡改工具，并感谢志愿安全组织SEAL 911协助调查人员。

在X上，一些用户询问Ledger是否会向受害者退款。另一些人则认为，由于CryptoBilis是授权经销商，公司应当承担责任。Ledger尚未宣布任何补偿方案。

谷歌搜索中出现假冒Ledger网站

另外，研究员Cyber Scrilla警告称，一个假冒的Ledger网站和应用程序出现在Google搜索结果的前列，Bitcoin News的一篇报道对此进行了重点报道。据报道，该网站的运营者试图诱导访客输入其24个单词的助记词。

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

据报道，该网站在30天内显示了超过100万次访问量，但这一数字尚未得到确认。目前尚未确定该网站造成的受害者人数或被盗金额，也不清楚有多少用户可能已受到影响。

安全公司Zscaler在9月的一份报告中描述了利用欺诈性Google广告的类似手法。该公司发现，100万次访问量的说法似乎指的是google.com，而非钓鱼页面，这表明该流量数字可能被错误归因。

研究人员尚未证明这些钓鱼网站导致了CryptoBilis相关的损失。二者是相互独立的问题，尽管都涉及Ledger用户。

对Ledger用户的建议

Ledger表示，用户绝不应在任何网站、应用程序或在线表单中输入助记词，并且公司绝不会要求客户提供其24个单词的助记词。该公司建议仅从Ledger官方网站下载软件，并仔细核对网址。

最新进展来自10月10日，当时Ledger表示一台已确认的设备中含有植入装置。其他被篡改设备的数量以及责任人仍不得而知。调查人员能否确定被篡改设备的最终数量、Ledger是否会宣布任何补偿方案，以及CryptoBilis何时恢复销售，都是随着调查继续需要关注的未决问题。

来源：CoinCentral