Ledger 正在调查 CryptoBilis 钱包资金盗取事件，估计损失达 9,290 万美元
要点速览
- •与 CryptoBilis 相关的钱包资金盗取事件估计损失已达 9,290 万美元，涉及 311 个钱包，其中约 7,050 万美元在 Tron 上被转走，Bitcoin 钱包损失约 203.8 BTC（价值 1,680 万美元）。
- •Ledger 于 10 月 9 日要求 CryptoBilis 停止所有销售和发货，并警告过去 90 天内购买设备的客户不要初始化设备，同时建议已在使用设备的受影响用户将资产转移到使用全新助记词生成的新的签名设备。
- •Ledger 表示，已报告的事件仅限于通过 CryptoBilis 分销的设备，且未发现其安全基础设施、系统或服务遭到入侵的迹象。
- •CryptoBilis 于 2026 年 3 月被收购，马来西亚公司记录显示一名身份为 Jiaming 的黑龙江个人为唯一股东，一位安全研究员提出了未经证实的推测，认为此次收购可能是威胁行为者为进入授权经销商渠道所为。
- •前 Mt. Gox 首席执行官 Mark Karpelès 在一台从马来西亚获得的 Ledger 设备中发现了一个隐藏的电子植入物，该植入物可能监控设置过程并向外部传输助记词数据，但目前尚无公开证据将该设备与 CryptoBilis 关联或确认其导致了盗取事件。
Ledger 正在调查一起大规模钱包资金盗取事件，影响东南亚地区从经销商 CryptoBilis 购买硬件钱包的客户，最新的链上估计显示疑似损失达 9,290 万美元。
硬件钱包的安全性建立在一个前提之上：助记词——控制链上资产访问权限的短语——在设备本身上生成，且绝不离开设备。这正是设备到达买家手中的销售渠道成为本案核心的原因。
在调查继续进行期间，该公司于 10 月 9 日要求 CryptoBilis 停止所有 Ledger 产品的销售和发货。任何在过去 90 天内从该经销商购买设备且尚未初始化的用户都不应开始设置。已经在使用其中一台设备的客户被建议考虑将其资产转移到使用全新助记词生成的新的 Ledger 签名设备。
Ledger 在其 X 支持账号发布的更新中表示，目前确认的报告仅限于通过 CryptoBilis 分销的设备，且没有迹象表明其安全基础设施、系统或服务遭到入侵。该公司尚未确认被盗金额、受害者人数或攻击者用于访问钱包的机制。
CryptoBilis 在盗取事件发生前数月已易主
前联合创始人 Arravind Prabu 在钱包资金盗取调查开始后确认，CryptoBilis 已于 2026 年早些时候被收购。Prabu 表示，原所有者在收购后完全退出了运营、系统访问和管理，不再经营 CryptoBilis。该交易于 3 月完成，而调查期间公布的马来西亚公司记录显示，一名身份为 Jiaming 的个人——注册地址位于中国黑龙江——截至 8 月 日持有 CryptoBilis 100% 的股份。
安全研究员 Quit 表示，此次收购包含一份保密协议，禁止原所有者公开披露该出售事项，该限制原定于 10 月 19 日到期——即 Ledger 提出停售请求的十天后。他提出了这样一种可能性：此次收购可能是由一个寻求进入既有授权经销商渠道的高级威胁行为者所为，而非事件源于内部恶意员工。这一推测反映了经销商在制造商与客户之间所处的受信任地位。
这仍然只是调查中的一种推测。目前尚无公开证据证明新所有者收购 CryptoBilis 是为了在 Ledger 设备中植入后门、参与了钱包资金盗取，或与攻击者控制的地址有任何关联。然而，时间线显示，所有权变更发生在受影响设备售出之前、协同盗取行为开始之前的数月。
链上估计损失达 9,290 万美元
随着调查人员识别出更多受影响的地址和网络，疑似损失已超出最初 7,200 万至 8,600 万美元的估计。
Bitquery 对该盗取事件的详细重建分析确认，来自 Tron、Bitcoin、Ethereum、BNB Chain 和 Polygon 上 311 个钱包的 9,290 万美元被转走。最大损失集中在 Tron 上，约 7,050 万美元被转出。Bitcoin 钱包损失了约 203.8 BTC（价值 1,680 万美元），其余资金来自 Ethereum、BNB Chain 和 Polygon。
交易时间点表明受影响的私钥受到集中控制。根据 X 上分享的报告，25 个 Tron 钱包在三秒内授权了同一支出方，111 个 Bitcoin 钱包在同一区块内被清空。Bitquery 还追踪到在主盗取事件发生前两周内，Tron 和 Ethereum 上的 41 笔小额测试交易。这一模式无法说明私钥是如何被获取的，但它不同于个体受害者在较长时间内独立批准恶意交易的情形。
Tether 随后冻结了与该活动相关的 20 个地址上约 1,000 万美元的 USDT——发行方之所以能采取这一步骤，是因为稳定币余额可以在指定地址被冻结。另有 1,510 万 USDD 仍留在攻击者控制的钱包中，同时 1,254 ETH 于 10 月 9 日晚些时候通过 Tornado Cash 转出——该混币协议旨在模糊存入地址与提取地址之间的关联。最新分析显示，约 7,900 万美元仍可追踪。
物理植入物引发供应链疑虑
一种可能的基于硬件的攻击途径也在调查之中。前 Mt. Gox 首席执行官 Mark Karpelès 拆开了一台从马来西亚获得的 Ledger 设备，并报告发现一个隐藏的电子植入物，其位置通常应是屏幕填充物。
Karpelès 表示，这台被改装的设备保留了极具说服力的包装，即使打开外壳后该植入物也很难被发现。他的分析表明，这些额外的硬件可以监控设置过程中显示的信息，并向外部传输记词数据。此类改装瞄准的正是设置环节本身——助记词首次生成并显示的时刻。
目前尚无公开证据证明 Karpelès 检查的设备来自 CryptoBilis，或同一改装造成了这 9,290 万美元的损失。Ledger 也未确认发生了供应链攻击。
该手法与此年初暴露的风险相似，当时一台含有隐藏硬件的假冒 Ledger 被发现能够窃取助记词和 PIN 信息。本案也不同于 2026 年早些时候的 Coldcard 钱包盗取事件，调查人员将那起事件的损失归因于受影响固件中的弱助记词生成，而非经销商层面的硬件改装。
Ledger 的警告目前特别针对过去 90 天内从 CryptoBilis 购买设备的客户。已初始化其中一台设备的用户需要一个新的签名设备和全新生成的助记词，而不仅仅是将现有助记词转移到另一台硬件钱包上——在设置过程中暴露的助记词在之后加载它的任何设备上仍然有效。由于机制尚未确认，最终损失总额和攻击途径都可能随着调查的继续而更新。
