Tether 已冻结其价值 1000 万美元的 USDT 稳定币，该资金与一起失窃事件有关：通过经销商 CryptoBilis 售出的 Ledger 硬件钱包被盗走高达 9300 万美元的资产。目前调查人员仍在继续追踪被盗资金的流向，而 Ledger 坚称此事件仅限于单一第三方经销商售出的设备。

Ledger 迄今确认的信息

Ledger 这家法国加密货币钱包制造商尚未就损失规模发表评论。该公司表示，所有已确认的案例均涉及 CryptoBilis 售出的设备，该第三方经销商曾经营于马来西亚、印度尼西亚和菲律宾。公司还强调，Ledger 自身的系统、服务和直销渠道没有任何被入侵的迹象。这一区别非常重要，因为硬件钱包的安全模式依赖于设备在未遭篡改的状态下到达用户手中，且私钥永不离开设备。

此案还增加了软件漏洞之外的物理篡改层面。10 月 10 日，Ledger 表示一名受影响用户的设备被安装了未经授权的物理植入物——这是此案中 Ledger 钱包遭物理入侵的首个证据。

公司向买家的提示十分明确：任何在过去 90 天内购买了 CryptoBilis 设备且尚未完成设置的用户，应保持设备原封不动。目前正在使用此类设备的用户，应将代币转移至另一台设备并使用全新的助记词。强调使用新助记词是建议的核心所在：助记词是硬件钱包的主备份，仅凭助记词即可在任何兼容设备上恢复钱包。仅通过官方渠道购买，并在设置时验证设备真实性，是防范此类售前篡改的标准做法。

调查人员如何统计损失

损失数字来自链上分析师，而非 Ledger。Bitquery 估计此次攻击从六条不同区块链上的 315 个钱包中盗取了 9320 万美元，主要为 USDT 和 TRON 代币。安全平台 YFarmX 给出了更高的数字，称攻击从七条不同区块链上的 521 个钱包中盗取了 9450 万美元。两项估算均基于公开链上数据。

根据 Bitquery 的分析，大部分被盗资金在 TRON 上，约 7050 万美元，另有 1680 万美元为 Bitcoin、370 万美元为 Ethereum，以及 BNB Chain、Polygon 和 Solana 上金额较小的部分。

据称此次行动已策划数月：涉案地址于 9 月 25 日创建，并在 10 月初之前进行了数十次试转账。主要转移发生在 10 月 9 日，Bitquery 称攻击者改写了 30 个 TRON 钱包的权限，随后在一小时内于单个区块内从 111 个 Bitcoin 钱包转移了约 203.8 BTC。只有攻击者掌握必要的私钥，此类操作才能实施。

这一点很重要，因为稳定币发行方能够将用于非法活动的代币列入黑名单。核实了 Tether 冻结操作的 Bitquery 报告称，截至 10 月 11 日，链上仍有约 8100 万美元可追踪代币，不过部分资金已经过混币服务 Tornado Cash 和 Zcash。Tornado Cash 将交易混合以模糊其踪迹，而 Zcash 提供旨在隐藏发送方、接收方和金额的屏蔽转账——因此剩余可追踪资金中有多少最终会被冻结，以及已混币的资金是否仍可追踪，是此案接下来的自然问题。

对授权经销商的质疑

Ledger 将此事件定性为 CryptoBilis 问题，这一说法并未获得普遍认同。该经销商在其网站上展示了 Ledger 官方徽章，批评者认为这使 Ledger 应对此情况负责。X 用户 MyCryptoParadise 表示："这不是 CryptoBilis 事件，而是 Ledger 事件"，并要求公司"为这一烂摊子承担责任"。这一争议触及硬件钱包业务的结构性特征：制造商依靠经销商扩大分销，但每增加一个中间商，就是链条中制造商无法直接控制的环节。

该经销商的所有权还有另一段背景。据联合创始人 Arravind Prabu 称，CryptoBilis 于 2026 年 3 月被收购，整个团队在收购期间移交了所有系统访问权限，如 Learning Crypto 所述。公司披露的记录显示，唯一的新投资者注册于中国。目前尚未发现失窃事件与所有权变更之间的关联，调查也未发现与新投资者相关的篡改行为。

CryptoBilis 已暂停其所售所有品牌的销售和交付，并关闭了在三个国家的实体门店。

Mark Karpelès 拆解的植入物

对被篡改硬件最权威的描述或许来自 Mt. Gox 创始人 Mark Karpelès。Karpelès 拆解了一台在马来西亚购买的 Ledger Nano X，并如 Learning Crypto 所报道，在屏幕下方发现了额外组件：一个蜂窝调制解调器、一个 eSIM 和一枚可以截获屏幕显示内容的小芯片。

设置钱包时，助记词会显示在该屏幕上。能够截获屏幕数据的组件可以通过移动网络将这些助记词发送出去，从而在其他地方重建钱包并盗取资金。此类植入物是供应链攻击的一个例子：设备在制造到交付之间的某个环节被改动，而非遭远程入侵——而且由于这些部件藏于正常工作的设备屏幕之下，普通买家很难发现。是否所有设备都含有此类组件尚待证实，是否还会有更多被植入的设备浮出水面，仍是调查中的未解问题。

值得注意的是，此案与 3 月份报告的另一起失窃事件不同，后者发生于 4 月，当时钓鱼者利用 Apple App Store 中的 Ledger Live 应用盗取了至少 950 万美元。