近1億美元加密資產被盜 Ledger錢包被盜事件疑雲重重

陶朱，金色財經

摘要：2026年10月9日，鏈上分析師 Specter 發文稱，近期 X 和 Reddit 上出現多起 Ledger 用戶錢包被盜事件報告。其追蹤相關盜幣地址後發現，資金來自數百個受害者錢包，涉及以太坊、波場及比特幣等多個主流區塊鏈，累計損失已超過 8600 萬美元。Specter披露了多個涉案地址，但攻擊原因、具體受影響人數及 Ledger 是否存在安全漏洞尚未得到證實。Bitquery則指出用戶損失實際為9290萬美元。

一、Ledger用戶錢包被盜關鍵線索：CryptoBilis、轉賣傳聞

2026年10月9日，部分Ledger硬體錢包用戶在社交平台X和Reddit上報告資產被盜。一些用戶表示，自己此前一直使用硬體錢包保管加密資產，助記詞也採取了離線保存的方式，卻依然發現錢包餘額異常減少，甚至被清空。

根據鏈上分析師Specter的追蹤結果，相關地址涉及比特幣、以太坊和TRON等網路，初步估算的損失金額超過8600萬美元。

1.CryptoBilis成關鍵線索

隨著事件調查的持續推進，CryptoBilis成為了事件中的關鍵線索。

Ledger 在公告中承認了客戶通過東南亞經銷商 CryptoBilis 購買設備後出現資金丟失的報告，但未確認所報導的損失金額，也未明確原因。

作為預防措施，公司表示已要求 CryptoBilis 暫停所有銷售和發貨，直至調查完成。Ledger 建議在過去 90 天內通過該經銷商購買設備的客戶暫勿進行設置。公司稱，已激活錢包的用戶應考慮將資產轉移至具有新生成恢復短語的新 Ledger 設備。

Ledger官方在X上發文：

Ledger 正在調查東南亞地區用戶從名為 CryptoBillis 的經銷商處購買產品後資金丟失的報告。作為預防措施，在調查結果出爐之前，我們已要求 CryptoBillis 暫停所有 Ledger 設備的銷售和發貨。我們建議最近 90 天內從該經銷商處購買 Ledger 的用戶，如果尚未進行設置，請勿啟動設置。如果您已設置 Ledger 設備，請考慮將資產轉移到新的 Ledger 簽名器（使用新種子短語）。我們將繼續在調查進展時向客戶通報更新資訊。

2.Cryptobilis已被轉賣傳聞

還有不少網友爆料，Cryptobilis已經於今年上半年被轉賣給一位神秘中國人，並且簽署了保密協議：在10月19日之前不能公布該消息——然而，在可以公布消息的前夜——10月9日，被盜事件就發生了。

X用戶exsiway發文爆料了Cryptobilis已經被轉賣等資訊。

我昨晚花了整個晚上挖資料，結果發現這比那更蠢，也更可怕。

馬來西亞有家叫 Cryptobilis 的店，賣硬體錢包。Ledger 從至少 2022 年起就把它列為馬來西亞、印度尼西亞和菲律賓的官方授權經銷商。正經店家，賣真設備，好幾年正常客戶。

今年春天，創始人把它賣了。交易附帶一份保密協議：他們不能告訴任何人這次出售，直到 10 月 19 日。

到八月，公司註冊顯示只有一個擁有者，持股 100%。一個來自中國黑龍江的傢伙。

店家繼續像沒事一樣營運。網站、店名和「Ledger 授權」徽章全都還掛着。

然後 10 月 8 日@MagicalTux發帖，曬出一台他拆開的 Ledger 照片。屏幕下面藏着一塊小板子，帶 LTE 調製解調器和 eSIM。它只是監視顯示屏。你設置好錢包，你的 24 個單詞出現，它們就通過行動數據發出去。Ledger 的真偽檢查沒抓到它，因為真正的 Ledger 晶片是貨真價實的。他的設備來自馬來西亞。那篇帖文有 12 萬瀏覽。

22 小時後，有人把一切都掃走。203 BTC 在一個區塊內打到兩個地址。同一個小時，約 5800 萬美元的 USDT 在 Tron 上轉移。我把所有錢包加起來：約 9100 萬美元。

大約 7 小時後，Ledger 說「我們正在調查」，並要求 Cryptobilis 暫停銷售。

Cryptobilis 仍然在 Ledger 網站上被列為授權經銷商，公平地說，還沒人正式把新主人和那些帶後門的設備聯繫起來，Ledger 也沒確認是怎麼發生的。

但把它當成一份商業計劃來讀： 拿到授權，好幾年賣真貨，悄悄在保密協議下賣掉公司，保留徽章，出貨會打電話回家的設備，然後一有人注意到就全捲走。而且，Ledger 甚至被告知店家被賣了嗎？沒人這麼說。

「授權經銷商」意味著 Ledger 在 2022 年信任當時經營店家的人。對今天誰在經營它，一無所知。

你的硬體錢包不是從製造商買的？今天就拆開看看，Ledger 還真有本指南教你怎麼做。然後換到一台直接從他們買的新設備上的新種子。

不知道誰會為此負責：來自黑龍江的中國前台人，店家的前主人，還是 Ledger 本身。@Ledger顯然需要對他們稱為官方經銷商的人盯得更緊得多，並對誰賣他們的設備以及怎麼賣承擔更多責任。

AB Kuai.Dong也提及被轉賣的資訊：

這個瓜越來越大了。被指控，在向用戶售賣植入間諜晶片的比特幣硬體錢包經銷商 CryptoBillis，被曝上半年，將該公司轉讓給了一位中國老哥，資料顯示他名字叫 JIA MING，定位在黑龍江五常市。

而同一時間，居住在東京的 Karpelès，在日本亞馬遜，從一位中國賣家，買的加密貨幣硬體錢包 Ledger 上。

拆解硬體後，發現了裡面帶有 LTE、eSIM、天線，可以遠程讀取用戶存放比特幣、以太坊的助記詞私鑰，這樣用戶在向其硬體錢包存放加密貨幣前，間諜晶片可在設備顯示助記詞時，截取屏幕內容並外傳，從而拿到助記詞私鑰，最終將加密貨幣轉移。

目前預計的被盜損失已超過 8600 萬美元，涉及數百個錢包，包括比特幣、以太坊等，由於很多被植入間諜晶片的設備，還在被用戶激活和存放加密貨幣，這個損失可能還將進一步擴大。

需要注意的是，目前沒有充分證據證明被盜事件與轉賣消息之間存在直接因果關係。

二、鏈上資金如何被轉走？

Bitquery發布了詳細的鏈上調查，為還原攻擊過程提供了更多細節。

據Bitquery統計，TRON、比特幣、以太坊、BNB Chain 和 Polygon 上的311 個錢包共損失了 9290 萬美元，比最初報導的還要多。但實際損失金額更高，因為竊賊還清空了 BNB Chain 和 Polygon 上的錢包，並使用了五個未公開的 TRON 地址。Ledger 將損失歸咎於通過其在印尼、馬來西亞和菲律賓的經銷商 CryptoBilis 購買的設備。經過兩周的測試運行，數十個錢包在幾秒鐘內簽署了相同的請求，這表明所有密鑰都掌握在同一名竊賊手中。Tether 凍結了 1000 萬美元。目前鏈上仍可找到約 7900 萬美元，其中一部分正在流入 Tornado Cash。

追蹤記錄顯示，所有錢包的私鑰都掌握在同一個人手中。此人在作案前兩周就開始練習，在得手後，盜賊已經把錢放進了混幣器。

第一筆資金被竊賊轉移到了TRON網路，在短短47分鐘內，該竊賊就清空了以太坊、BNB鏈、Polygon和比特幣上的錢包。之後盜竊錢包速度有所放緩，但整個下午都在繼續清空錢包，包括在 Ledger 發帖之後。

在波場上，竊賊並沒有直接將每個錢包中的 USDT 轉走。首先，每個錢包都簽署了一份授權書，允許另一個地址轉移其 USDT。然後，一個地址利用這些授權書提取了資金。

記錄顯示，在相隔三秒的兩個區塊中，有 25 個錢包對同一地址簽署了相同的授權。每個錢包都支付了各自的少量網路費用。在首次授權後的六秒內，價值 2900 萬美元的 USDT 被提取，其中 700 萬美元來自單個錢包。

在第一個 TRON 錢包獲得批准 11 秒後，一個以太坊錢包對另一個地址簽署了相同的批准，12 秒後又簽署了第二個。在比特幣上，UTC 時間 05:54，111 個錢包的資金在單個區塊中被清空，每個錢包的資金都以固定費用轉移到兩個地址之一。人不會這樣做，只有那些已經掌握所有密鑰的軟體才會這樣做。

還有另一種方法可以得出同樣的結論。釣魚網站可以在一天內收集許多人的簽名請求，然後一次性全部發送出去。Bitquery測試了這種方法，認為可能性不大。發送代幣的簽名請求會明確指定具體的金額。一個企業錢包在 UTC 時間 09:49 將其全部餘額（430 萬 USDT）發送給了竊賊，而該餘額自 03:54 以來就未曾改變過。因此，該請求是在這六個小時內簽名的，而此時盜幣行動已經開始。釣魚網站還需要來自五條鏈上 311 個錢包的簽名，而盜幣行動在一個小時內就全面展開了。

用於在 TRON 上提取 USDT 的地址於 9 月 25 日設立。接下來的兩周，兩個地址都進行了相同的測試：向一個錢包發送幾美元和一些 Gas 費（用於支付網路費用的代幣），等待該錢包確認後，再將美元取回。TRON 地址執行了 21 次，以太坊地址執行了 20 次。最後兩次測試（10 月 7 日）間隔 23 秒。

三、攻擊手段分析

在Ledger硬體供應鏈攻擊前，前Mt. Gox CEO曾發出警告，披露帶有隱藏式監控植入裝置的實體篡改 Ledger 設備後，可能無意中觸發了針對多個錢包的協調性資金轉移。

Karpelès 曾指出：市場上有人出售帶有隱藏 SIM 卡的假冒或篡改 Ledger 設備，這些 SIM 卡能夠傳輸被竊取的助記詞。相關植入裝置據稱可截取發送至設備屏幕的數據，從而獲取用戶在設置錢包時顯示的恢復短語。此類設備據稱仍可通過 Ledger 官方真品檢查，因為原有安全元件保持完整，而驗證流程無法檢測未經授權的實體改裝。一種正在出現的推測是，攻擊者從受影響設備中收集助記詞，並等待同時轉移多個錢包中的資金。

Karpelès 的警告據稱獲得約 9 萬次瀏覽，可能使攻擊者意識到其行動已經暴露，並促使其轉移竊取的資金。

Karpelès 表示，他檢查過的一台受影響 Ledger 設備來自馬來西亞，採用完好無損的熱縮膜包裝，且屏幕下方隱藏着植入裝置。目前懷疑的攻擊路徑是硬體供應鏈遭到入侵，而非加密算法漏洞。

Karpelès 的警告與隨後發生的錢包資金轉移之間的關聯尚未得到證實，是否由同一批植入裝置導致也未得到確認。若相關情況得到證實，該事件將表明，即使設備通過製造商認證，遭入侵的硬體仍可能破壞用戶的資產自託管安全。

同日，慢霧安全首席資訊安全官23pds發文稱，如果Ledger設備PCB被修改的方式確如Mt.Gox前CEO Mark Karpelès所描述，那麼攻擊者將具備相當高的技術水平。 

攻擊流程可能是：錢包在安全元件（SE）內生成助記詞，隨後將助記詞顯示在屏幕上供用戶抄寫；惡意模塊通過SPI等屏幕數據線路獲取顯示內容，記錄完整助記詞後，再通過LTE/eSIM將數據發送給攻擊者，最終導致用戶資產被盜。 安全元件的作用是防止私鑰被直接讀取或導出，但無法阻止外部模塊獲取屏幕正在顯示的資訊。不過，上述分析建立在PCB確實遭到所述方式改裝的前提下，相關攻擊路徑及硬體植入情況仍有待獨立驗證。 

四、業內人士如何看待本次被盜事件

CZ在X發文指出：

如果您使用 Ledger 硬體錢包，請務必小心，尤其是如果您最近購買了一個。

根據目前的資訊來看，這似乎是針對某個供應商的供應鏈攻擊。可能只有少數人購買了假冒（或被篡改）的 Ledger 錢包。

Ledger 是業內最安全且歷史最悠久的硬體錢包之一。它經受住了時間的考驗。但此類事件還是會發生。

我預計並知道所有 BNB 生態系統參與者（以及整個行業）都會幫助追蹤並追回資金。

餘弦發文指出：

Ledger 經銷商這件事後，感覺硬體錢包拆機自毀功能會是必備機制了…否則就得有另一個機制來證明我手上拿到的硬體錢包是官方原本意圖的產物……

X用戶Zach Herbert指出：

關於 Ledger 供應鏈攻擊的思考：

（1）物理主動防篡改非常重要。如果設備可以被打開而不會觸發篡改事件，那麼自動化的設備安全檢查是不夠的。

（2）可信製造很重要。優先選擇國內製造。我不想要一個由富士康在亞洲製造的硬體錢包。

（3）透明外殼並非萬能藥。植入物可以做得更小，並且可以融入其中。

（4）DIY 硬體並非萬能藥。亞馬遜賣家修改樹莓派和其他開發板，寄希望於有人將其用於比特幣或加密貨幣儲存，這種情況要不了多久就會發生。

（5）今天驚訝地了解到，沒有公司生產加密顯示驅動晶片。那本可以防止這種攻擊，即攻擊者截獲發送到顯示屏的數據信號。

（6）供應鏈攻擊有許多不同的方式。我們見過簡單的攻擊，比如亞馬遜賣家附帶一張已經填好的種子卡，然後一部分不懂行的用戶輸入那些確切的種子詞。這是我們見過的最複雜且執行最徹底的攻擊。

（7）多重簽名本可以在這裡保護你，但我不確定密碼短語是否能做到。攻擊者可能也能看到設備上輸入的密碼短語在屏幕上的顯示。

X用戶Doug Colkitt指出：

我認為 Ledger 事件的教訓是，如果你持有任何數量的加密貨幣，它絕不應僅依賴單一技術棧來保護。

我的建議是設置一個 2/3 多簽。它在 Gnosis 或 Squads 上操作簡單且免費。讓三個簽名者使用來自不同供應商的三個不同錢包。

比如你有 Ledger、Trezor 和一個像 Phantom 這樣的行動 iOS 錢包。要讓某人攻破你，他們需要在極短時間內同時攻破兩個不同的技術棧。如果像 Ledger 漏洞這樣的事情發生在你的錢包上，你可以簡單地將那個簽名者從多簽中移除。

另外，還可以在錢包本身中存一小筆金絲雀資金（比如 100 美元）。這將為你提供早期預警，如果那個簽名者被攻破的話。

這很快捷又簡單，在當前高風險環境中，今天就去做沒有任何理由不這麼做。

附：Ledger歷史上主要被攻擊與資金損失相關事件

• 2018年：早期硬體與供應鏈研究漏洞集中爆發。安全研究員演示Nano S出廠前被篡改可能，以及MCU bootloader繞過、隔離漏洞、Bitcoin找零地址注入等問題。Ledger陸續發布安全公告並修復，多為研究級或需物理接觸場景。

• 2020年：大規模客戶數據泄露。攻擊者通過第三方API密鑰及Shopify相關漏洞獲取電商與營銷數據庫，超100萬信箱及約27.2萬–29.2萬客戶詳細記錄（姓名、地址、電話等）被公開。硬體與私鑰未受影響，但直接催生長期釣魚、社工及偽造官方信件詐騙。

• 2023年12月：Ledger Connect Kit供應鏈攻擊。前員工遭釣魚導致NPMJS賬號被控，攻擊者發布惡意版本Connect Kit，注入依賴該庫的DApp，誘導用戶簽署盜幣交易。活躍窗口約2小時內，損失約48萬–60萬美元量級。硬體與Ledger Live本身未直接被攻破。

• 2026年1月：第三方Global-e訂單數據泄露。支付物流合作方系統遭未授權訪問，部分Ledger.com訂單相關資訊（姓名、地址、聯繫方式等）暴露。Ledger自身系統與私鑰未受影響，但再次抬升釣魚風險。

• 2026年4月：App Store假冒Ledger Live應用詐騙。仿冒應用上架約一周，誘騙用戶輸入助記詞，超50名受害者損失約950萬美元，涉及多條鏈。蘋果隨後下架，Ledger強調永不索要24詞助記詞。

• 2026年8月：以太坊應用簽名相關漏洞（LSB-023等）。包括命令交錯導致顯示與簽名參數不同步、Clear-signing繞過等問題。需惡意主機配合，Ledger稱無實際用戶被利用證據，已在新版本中修復。

• 2026年10月9日（最新）：與CryptoBilis經銷商相關的大規模錢包清空事件。預估損失超9000萬美元，Ledger正在調查，疑似針對單一渠道的供應鏈或設備篡改攻擊。官方已採取暫停銷售、建議用戶遷移資產等措施。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。