Ledger 調查 CryptoBilis 錢包遭盜事件，估計損失達 9,290 萬美元
重點速覽
- •與 CryptoBilis 相關的錢包盜領事件估計損失已達 9,290 萬美元，涉及 311 個錢包，包括 Tron 上約 7,050 萬美元，以及 Bitcoin 錢包約 203.8 BTC（價值 1,680 萬美元）。
- •Ledger 於 10 月 9 日要求 CryptoBilis 停止所有銷售與出貨，並警告過去 90 天內購買裝置的客戶不要初始化；已在使用裝置的受影響用戶則被建議將資產轉移至使用全新助記詞的新簽名裝置。
- •Ledger 表示，已通報的事件僅限於經 CryptoBilis 分銷的裝置，且未發現其安全基礎設施、系統或服務遭到入侵的跡象。
- •CryptoBilis 於 2026 年 3 月被收購，馬來西亞公司登記資料顯示一名名為 Jiaming、來自中國黑龍江的個人為唯一股東；一名安全研究員提出未經證實的理論，稱此次收購可能是威脅行為者為取得授權經銷商存取權而進行。
- •前 Mt. Gox 執行長 Mark Karpelès 在一台從馬來西亞取得的 Ledger 裝置中發現隱藏的電子植入物，該植入物可能監控設定過程並向外部傳送助記詞資料，但目前沒有公開證據將該裝置與 CryptoBilis 連結或證實其造成此次盜領。
Ledger 正在調查一起大規模錢包資產被盜事件，影響向經銷商 CryptoBilis 購買硬體錢包的東南亞客戶，最新鏈上估計顯示疑似損失達 9,290 萬美元。
硬體錢包的安全性建立在一個前提之上：助記詞——控制鏈上資產存取權的詞組——是在裝置本身產生且不會離開裝置。這正是裝置送達買家所經過的銷售通路成為本案核心的原因。
調查期間，該公司於 10 月 9 日要求 CryptoBilis 停止所有 Ledger 的銷售與出貨。過去 90 天內向該經銷商購買裝置且尚未初始化的用戶不應開始設定程序。已在使用其中裝置的客戶，建議考慮將資產轉移至一台以全新助記詞產生的新 Ledger 簽名裝置。
在其支援帳號於 X 上發布的更新中，Ledger 表示，目前確認的通報案件僅限於經 CryptoBilis 分銷的裝置，且無跡象顯示其安全基礎設施、系統或服務遭到入侵。該公司尚未確認被盜金額、受害者人數或攻擊者存取錢包所用的手法。
CryptoBilis 在盜領發生前數月已易主
CryptoBilis 前共同創辦人 Arravind Prabu 在錢包盜領調查展開後證實，該公司於 2026 年早些時候被收購。Prabu 表示，原股東在收購後完全退出營運、系統存取和管理，不再經營 CryptoBilis。交易於 3 月完成，而調查期間公布的馬來西亞公司登記資料顯示，一名名為 Jiaming、登記地址位於中國黑龍江的個人，截至 8 月 3 日持有 CryptoBilis 100% 的股份。
安全研究員 Quit 表示，此次收購包含一項保密協議，禁止原股東公開透露出售事宜，該限制原定於 10 月 19 日到期——即 Ledger 要求停售後的第十天。他提出一種可能性：這次收購可能是某個高級威脅行為者為了取得一家成熟授權經銷商的存取權而進行，而非事件源於內部不良員工。該理論反映了經銷商在製造商與客戶之間所佔據的受信任地位。
這仍然只是一項調查中的理論。目前沒有公開證據顯示新股東收購 CryptoBilis 是為了入侵 Ledger 裝置、參與錢包盜領，或與攻擊者控制的地址有任何關聯。然而，時間點上，這次易主確實發生在受影響裝置售出及協同盜領展開之前數月。
鏈上估計損失達 9,290 萬美元
隨著調查人員發現更多受影響的地址與網路，疑似損失已超出最初估計的 7,200 萬至 8,600 萬美元。
Bitquery 對盜領事件的詳細還原分析確認，共 9,290 萬美元從 Tron、Bitcoin、Ethereum、BNB Chain 和 Polygon 上的 311 個錢包中被盜。最大損失集中在 Tron，約有 7,050 萬美元被轉走。Bitcoin 錢包損失約 203.8 BTC，價值 1,680 萬美元，其餘資金來自 Ethereum、BNB Chain 和 Polygonn
交易時間模式顯示受影響的私鑰受到集中控制。根據在 X 上分享的報告，25 個 Tron 錢包在三秒內授權了同一個支出方，111 個 Bitcoin 錢包在同一個區塊內被清空。Bitquery 還追蹤到，在主盜領發生前的兩週內，Tron 和 Ethereum 上有 41 筆小額測試交易。這種模式無法證明私鑰是如何取得的，但與個別受害者在長時間內各自批准惡意交易的情形不同。
Tether 隨後凍結了與該活動相關的 20 個地址上約 1,000 萬美元的 USDT——發行方能夠採取這一步驟，是因為穩定幣餘額可以在指定地址被凍結。另有 1,510 萬 USDD 仍留在攻擊者控制的錢包中，而 1,254 ETH 於 10 月 9 日晚些時候經由 Tornado Cash——一種旨在混淆存入與提出地址之間關聯的混幣協議——被轉移。最新分析顯示，約 7,900 萬美元仍可追蹤。
實體植入物引發供應鏈疑慮
一條可能的硬體攻擊途徑也在檢驗之中。前 Mt. Gox 執行長 Mark Karpelès 拆解了一台從馬來西亞取得的 Ledger 裝置，並回報發現一個隱藏的電子植入物，位於通常放置螢幕墊片的位置。
Karpelès 表示，這台經改裝的裝置外包裝足以亂真，即使打開外殼後植入物也難以察覺。他的分析指出，這些額外硬體能夠監控設定過程中顯示的資訊，並向外部傳送助記詞資料。這類改裝瞄準的正是設定程序本身——即助記詞首次產生並顯示的時刻。
目前尚無公開證據證明 Karpelès 檢驗的裝置來自 CryptoBilis，也無法證實相同的改裝造成了這起 9,290 萬美元的盜領。Ledger 也未證實發生供應鏈攻擊。
這種手法與今年早些時候曝光的風險相似，當時發現一台內藏硬體的仿冒 Ledger 能夠竊取助記詞與 PIN 資訊。本案也與 2026 年早些時候的 Coldcard 錢包盜領事件不同，調查人員將後者的損失歸因於受影響韌體中的弱種子產生機制，而非經銷商層面的硬體改裝。
Ledger 目前的警告僅適用於過去 90 天內向 CryptoBilis 購買裝置的客戶。已初始化其中裝置的用戶需要一台新的簽名裝置和全新產生的助記詞，而不是簡單地將現有助記詞轉移到另一台硬體錢包——在設定過程中暴露的助記詞，在日後載入的任何裝置上仍然有效。由於手法尚未確認，最終損失總額和攻擊途徑都可能隨調查進展而修正。
