OneKey 創辦人兼執行長王宜詩宣布，這家硬體錢包製造商的「經銷商網路將大幅縮減」，在對先前已認證的經銷商進行全面審查後，凡「營運實體無法核實或最終受益人不清楚」的經銷商，其授權將被撤銷並從官方網站移除。王宜詩也證實，OneKey 已撤銷 CryptoBilis 作為其裝置經銷商的授權。

此一公告之前，有報導指出東南亞經銷商 CryptoBilis 所售的 Ledger 錢包中，有一個被植入未經授權的硬體晶片，相關加密貨幣竊案調查仍在進行中，損失目前估計在 8,600 萬至 9,300 萬美元之間。此事件凸顯了硬體錢包業務中的經銷商層級，裝置在製造商與終端用戶之間需經過中間商流通。

針對 CryptoBilis 錢包入侵事件，Ledger 說了什麼？

Ledger 於 10 月 10 日在其支援頁面發布的最新消息證實，在其調查結束之前，CryptoBilis 將不得銷售該硬體錢包製造商的任何產品。此前，Ledger 曾在 X 上的公開聲明中表示，至少「有一個受影響用戶的裝置被植入了未經授權的硬體晶片」。

Ledger 強調，其自身系統與直銷通路均未受影響，並指出所有暴露的裝置都可追溯至 CryptoBilis。經銷商來源裝置與製造商直接出貨裝置之間的區別，正是隨後客戶指引的依據。

Ledger 建議任何向這家東南亞經銷商購買錢包的用戶，不要初始化尚未設置的裝置。對於已設置從 CryptoBilis 購買的裝置的客戶，建議將資金轉移至 Ledger 直接發行的錢包，而非經由經銷商購買的錢包。

截至目前，安全分析師估計約有 300 個 Ledger 錢包被盘走約 8,600 萬至 9,300 萬美元。

為什麼 OneKey 和 SafePal 的買家感到不安

雖然目前只有 Ledger 錢包傳出竊案，但這場安全風波已蔓延至其他錢包製造商的客戶。CryptoBilis 自稱是 Ledger、Trezor、OneKey、Tangem、SafePal、imKey 等錢包在馬來西亞的授權經銷商，同時也在印尼和菲律賓營運。

宜詩在 X 上發文試圖安撫恐慌情緒，寫道：「我們已終止 CryptoBilis 的授權；它不再是 OneKey 的授權經銷商。」

王宜詩還詳細說明了 OneKey 為降低當前風險並防止事態進一步升級而採取的三步驟應對措施。

第一步：OneKey 已停止新增經銷商，自 10 月 12 日的聲明起生效。

第二步：所有現有經銷商，包括先前已認證的經銷商，都將接受重新審查程序。「營運實體無法核實或最終受益人不清楚」的經銷商將失去授權，OneKey 將在官方網站公布完整的授權經銷商名單。

第三步：於 2026 年 3 月 1 日至 10 月 12 日期間向 CryptoBilis 購買 OneKey 裝置的用戶，可獲得免費更換。即使已啟用或使用過裝置的用戶，仍可獲得免費更換。

據王宜詩表示，OneKey 選擇 3 月 1 日作為截止日期，是因為 CryptoBilis 的原始共同創辦人曾公開表示，該公司在今年年初被收購後，已於 3 月完成營運管理交接。待完整經銷商名單在官方網站上線後，將成為買家查核賣家是否為現行授權經銷商的依據。

OneKey 此前唯一被公開報導的硬體缺陷可追溯至 2023 年，當時安全公司 Unciphered 在實驗室攻擊中提取了一台裝置的種子短語。OneKey 修補了該漏洞、支付了漏洞賞金，並表示沒有用戶受到影響。

CryptoBilis 現在由誰持有？

最新的公司紀錄顯示，在這起疑似供應鏈攻擊發生之前，這家馬來西亞經銷商的控制權已發生變更。CryptoBilis 的前共同創辦人在 LinkedIn 上表示，他們已於 3 月將公司移交給新東家，有報導稱所有權轉移給一名被確認為 Jiaming 的中國籍人士。

目前沒有任何經證實的報導將新東家與此安全事件連結起來。

2026 年至今，已有六個硬體錢包品牌披露安全問題。Galaxy Research 估計 Coldcard 事件的損失超過 1.15 億美元，而 10 月初 Ledger 的披露則是第二起造成資金損失的事件。Cryptopolitan 上週也報導了BasedApp 遭入侵、導致客戶 KYC 紀錄外洩的事件。