硬件钱包遭植入物攻击：损失估计高达9320万美元
Ledger 披露，其分销商 CryptoBilis 销售的硬件钱包中嵌入了一种秘密芯片。该芯片能够从屏幕上捕获用户的24词助记词恢复短语，并通过蜂窝网络将数据传输给攻击者。研究人员估计，此次事件造成的经济损失在8420万至9320万美元之间。
法国公司 Ledger 在其安全团队 “Ledger Donjon” 于周二发布的 X（原 Twitter）博客更新中，首次详细说明了这一攻击向量。这或许是对受损设备所有者如何在未接触 Ledger 软件的情况下丢失加密货币访问权的最详尽解释。
植入物如何从屏幕窃取密钥
根据 Ledger 的说法，额外的芯片位于设备外壳内部。在设置钱包时，当用户展示作为账户备份的24个单词时，植入物的微控制器会读取这些单词，并将其转换为数据，通过集成的 SIM 卡经由 LTE 网络传输。
这种恢复代码本质上等同于一个账户。借助它，用户可以在另一台硬件设备上恢复钱包，而无需使用受损设备或执行任何交易。
供应链攻击而非软件漏洞
Ledger 强调指出了此次攻击未波及的部分。该公司指出，植入物并未损害确保私钥安全的“安全元件”（Secure Element），也未影响操作系统，更未对交易和签名产生任何影响。Ledger 将此事件定性为针对其供应链的物理攻击，而非针对其软件或内部流程的黑客入侵。
Ledger 声称其发货量超过800万台设备，并指出其“正品检查”（Genuine Check）系统无法检测到此类植入物，因为原始的安全元件未被触碰。
受害者规模与资金冻结
Ledger 尚未公布受害者数量或涉及金额的具体数据。然而，链上研究机构已经进行了调查并得出了估算结果。据报道，约9320万美元的损失分散在300多个钱包中。但调查员 Specter 将损失估计超过8600万美元，而 Yfarmx 将其数字提高至1.03亿美元。
Tether 正在冻结与此盗窃案相关的价值1000万美元的 USDT 稳定币。这一行动始于10月9日，当时 Ledger 开始调查涉嫌的资金盗取事件，并要求 CryptoBilis 停止销售其签名器。10月10日，Ledger 披露其中一个受损用户的设备中包含非法植入物。迄今为止，所有确认的损失均涉及由 CryptoBilis 销售的产品，该公司是印度尼西亚、马来西亚和菲律宾的授权分销商。
竞争对手切断与 CryptoBilis 的合作
据报道，CryptoBilis 已停止在上述三个国家销售不同品牌的硬件钱包及配送服务，并关闭了其实体店，这是继此前仅涉及 Ledger 品牌举措后的进一步行动。该分销商表示，正在外部专家的帮助下审查局势。
Trezor 声明未在经 CryptoBilis 转售的设备中发现篡改证据，但决定将其从授权分销商名单中移除。OneKey 公司表示，没有报告与该案件相关的损失，并将 CryptoBilis 从其授权分销商名单中移除；此外，对于2026年3月1日至10月12日期间通过 CryptoBilis 购买的 OneKey 设备，提供免费更换服务。
超出分销商的报道
Cointelegraph 报道称，Ledger 正在调查非经 CryptoBilis 销售的设备中存在植入物的报告，但尚未确认从其他商店购买的设备发生盗窃。此外，据 Cointelegraph 报道，X 上一位名为 Johannes 的用户上传了两张 Ledger 设备的照片，声称这两台设备分别购自欧洲的 MediaMarkt 门店，且均被植入了芯片。
Ledger 尚未确认欧洲报告与 CryptoBilis 案件之间的任何联系。根据 Ledger 的建议，CryptoBilis 产品的用户应非常明确地采取以下措施：不要初始化来自 CryptoBilis 的签名器；如果已经初始化，请将资金转移至带有新恢复短语的另一台设备。
