OneKey创始人兼首席执行官王逸石宣布，在对所有此前认证的经销商进行全面审查后，这家硬件钱包制造商的“经销网络将大幅收缩”，凡“经营实体无法核实或最终受益人不明确”的经销商将被撤销授权并从官网移除。王逸石还确认，OneKey已撤销CryptoBilis作为其设备经销商的授权。

此前有报道称，东南亚经销商CryptoBilis售出的至少一台Ledger钱包含有未经授权的硬件植入件，与此同时，这起加密货币盗窃案的调查仍在进行中，损失估计在8600万至9300万美元之间。该事件凸显了硬件钱包业务中的经销商环节，设备在制造商与最终用户之间需经过中间商流转。

关于CryptoBilis钱包被黑事件，Ledger说了什么？

Ledger于10月10日在其支持页面发布的更新确认，在调查结束之前，CryptoBilis将不得销售该硬件钱包制造商的任何产品。此前Ledger曾在X上公开发表声明，表示至少“一台受影响用户的设备含有未经授权的硬件植入件”。

Ledger强调，其自身系统和直销渠道未受影响，并指出所有受影响设备均可追溯至CryptoBilis。经销商渠道设备与制造商直发设备之间的这一区别，是随后客户指引的基础。

Ledger建议所有从这家东南亚经销商处购买钱包的用户，不要初始化任何尚未设置的设备。已设置从CryptoBilis购买设备的客户，则建议将资金转移至Ledger官方直发钱包，而非通过经销商购买的钱包。

迄今为止，安全分析人士估计，约有300个Ledger钱包被盗取，金额约为8600万至9300万美元。

为什么OneKey和SafePal买家感到不安

尽管到目前为止只有Ledger钱包报告了失窃，但安全恐慌已蔓延至其他钱包制造商的客户。CryptoBilis自称是Ledger、Trezor、OneKey、Tangem、SafePal、imKey等钱包在马来西亚的授权经销商，同时在印度尼西亚和菲律宾开展业务。

王逸石在X上发帖试图平息恐慌，写道：“我们已终止CryptoBilis的授权；它不再是OneKey授权经销商。”

王逸石还详细介绍了OneKey为降低当前风险并防止事态进一步升级而采取的三步应对措施。

第一步：自10月12日声明发布起，OneKey已停止新增经销商。

第二步：所有现有经销商，包括此前已认证的经销商，都将接受重新审查。“经营实体无法核实或最终受益人不明确”的经销商将被撤销授权，OneKey将在官方网站上公布完整的授权经销商名单。

第三步：2026年3月1日至10月12日期间从CryptoBilis购买OneKey设备的用户有资格免费更换设备。即使设备已被激活或使用，用户仍可获得免费更换。

据王逸石介绍，OneKey之所以选择3月1日这一时间节点，是因为CryptoBilis的原始联合创始人曾公开表示，公司在今年早些时候被收购后，已于3月完成运营管理交接。待完整经销商名单在官网上线后，它将作为买家核实卖家当前是否获得授权的依据。

OneKey此前唯一一次公开报道的硬件缺陷可追溯至2023年，当时安全公司Unciphered在实验室攻击中提取了一台设备的种子短语。OneKey随后修补了该漏洞、支付了赏金，并表示没有用户受到影响。

CryptoBilis现在归谁所有？

最新的企业记录显示，在这起疑似供应链攻击发生之前，这家马来西亚经销商的控制权已发生变更。CryptoBilis的前联合创始人在LinkedIn上表示，他们已于3月将公司移交给了新东家，有报道称所有权转至一名被确认为Jiaming的中国公民个人手中。

目前没有任何已证实的报道将新所有权与此次安全事件联系起来。

2026年至今，已有六个硬件钱包品牌披露了安全问题。Galaxy Research估计，Coldcard造成的损失超过1.15亿美元，而10月初Ledger的披露是第二起造成资金损失的事件。Cryptopolitan上周还报道了BasedApp数据泄露事件，该事件导致客户KYC记录外泄。