Tether 已凍結價值 1,000 萬美元的 USDT 穩定幣，該案與經銷商 CryptoBilis 售出的 Ledger 硬體錢包遭竊、資產損失高達 9,300 萬美元的事件有關。調查人員持續追蹤被竊資金的流向之際，Ledger 堅稱此事件僅限於單一第三方經銷商所售出的設備。

Ledger 目前已證實的資訊

這家法國加密貨幣錢包製造商尚未就損失規模發表評論。該公司表示，所有已確認的案例均涉及在馬來西亞、印尼和菲律賓營運的第三方經銷商 CryptoBilis 所售出的設備。Ledger 也強調，其自身系統、服務和直銷管道均無遭入侵的跡象。這一區別至關重要，因為硬體錢包的安全模式建立在設備未經竄改地送達使用者手中、私鑰從不離開設備的前提之上。

此案也出現了超越軟體漏洞的實體竄改面向。10 月 10 日，該公司表示，一名受影響使用者的設備被裝有未經授權的實體植入物——這是本案中 Ledger 錢包遭實體入侵的首個證據。

該公司對買家的訊息很明確：任何在過去 90 天內購買 CryptoBilis 設備且尚未進行設定的使用者，應保持設備原封不動。目前正在使用此類設備的使用者，應將代幣轉移到另一台設備並使用新的助記詞。強調使用全新助記詞是這項建議的核心：助記詞是硬體錢包的主備份，僅憑助記詞即可在任何相容設備上恢復錢包。只透過官方渠道購買，並在設定時驗證設備真偽，是防範此類銷售前竄改的標準做法。

調查人員如何統計損失

損失數據來自鏈上分析師，而非 Ledger。Bitquery 估計，這次攻擊從六條不同區塊鏈上的 315 個錢包盜取 9,320 萬美元，主要是 USDT 和 TRON 幣。安全平台 YFarmX 則給出更高的數字，聲稱攻擊從七條不同區塊鏈上的 521 個錢包竊取 9,450 萬美元。兩項估計均基於公開鏈上數據。

根 Bitquery 的分析，大部分被竊資金在 TRON 上，約為 7,050 萬美元，另有 1,680 萬美元的 Bitcoin 和 370 萬美元的 Ethereum，以及在 BNB Chain、Polygon 和 Solana 上的金額則小得多。

據稱這次行動策劃了數月：涉及竊案的地址於 9 月 25 日創建，並在 10 月初之前進行了數十次測試轉帳。主要資金移動發生在 10 月 9 日，Bitquery 表示，攻擊者先改寫了 30 個 TRON 錢包的權限，一小時後又在一個區塊內從 111 個 Bitcoin 錢包轉出約 203.8 BTC。此類操作只有在攻擊者掌握必要私鑰的情況下才能完成。

這一點之所以重要，是因為穩定幣發行方能夠將用於非法活動的代幣列入黑名單。經證實此次 Tether 凍結的 Bitquery 報告指出，截至 10 月 11 日，鏈上仍有約 8,100 萬美元可追蹤代幣，但部分資金已經過混幣服務 Tornado Cash 和 Zcash。Tornado Cash 將交易匯集在一起以掩蓋其蹤跡，而 Zcash 則提供旨在隱藏發送方、接收方和金額的隱蔽轉帳——因此，剩餘可追蹤資金中有多少最終會被凍結，以及混幣後的資金是否仍能被追蹤，是本案自然而然的下一個問題。

針對授權經銷商的反彈

Ledger 將情況定性為 CryptoBilis 問題的說法並未平息爭議。該經銷商的網站上展示了 Ledger 的官方徽章，批評者認為這使 Ledger 必須為此情況負責。「這不是 CryptoBilis 事件，而是 Ledger 事件，」X 用戶 MyCryptoParadise 說道，並要求該公司「為這場爛攤子負起責任」。這場爭議觸及硬體錢包業務的一個結構性特點：製造商依靠經銷商擴大銷售，但每增加一個中間商，就是製造商無法直接控制的鏈條中的一環。

該經銷商的股權背景也有內幕。據共同創辦人 Arravind Prabu 表示，CryptoBilis 於 2026 年 3 月被收購，收購過程中整個團隊移交了所有系統存取權限，如 Learning Crypto 所引述。該公司申報的記錄顯示，唯一的新投資方註冊於中國。目前尚未在被竊案與股權變更之間建立任何關聯，調查也未發現與新投資方相關的竄改。

CryptoBilis 已暫停其銷售的所有品牌的出貨與交付，並關閉了在這三個國家的實體門市。

Mark Karpelès 拆解出的植入物

對遭竄改硬體最確切的檢視，或許來自 Mt. Gox 創辦人 Mark Karpelès。Karpelès 拆解了一台在馬來西亞購買的 Ledger Nano X，並如 Learning Crypto 所報導，發現螢幕下藏有額外元件：一個行動數據機、一個 eSIM 以及一枚能攔截螢幕顯示內容的微小晶片。

設定錢包時，助記詞會顯示在該螢幕上。能夠攔截顯示資料的元件，可將這些助記詞透過行動網路傳送出去，使錢包得以在其他地方被重建，資金從竊。此類植入物是供應鏈攻擊的一個例子：設備在製造與交付之間的某個環節被改動，而非遭到遠端入侵——由於這些元件位於運作正常設備的螢幕下方，普通買家很難察覺。目前尚待證實所有設備是否都含有此類元件，是否還會有更多被植入的設備浮出水面，仍是調查中的未解問題。

值得注意的是，本案與另一宗 3 月通報、發生於 4 月的竊案不同，當時網路釣魚者利用 Apple App Store 上的 Ledger Live 應用程式竊取了至少 950 萬美元。