导语：据报告，攻击者通过授权东南亚经销商 CryptoBilis 销售的 Ledger 硬件钱包植入隐藏硬件，供应链攻击可能导致数百个钱包损失 7200 万至超过 9300 万美元加密资产。事件直接冲击硬件钱包的核心承诺：用户无需信任第三方即可安全存储加密资产。
经销商渠道设备被指植入硬件
据报道，恶意植入物被放置在通过 CryptoBilis 销售的 Ledger 设备中。Ledger 于 2026 年 10 月 10 日确认，至少一台受影响设备包含未经授权的硬件植入物。该公司已指示 CryptoBilis 停止所有设备销售和发货。
植入物如何工作
相关植入物被描述为带有蜂窝通信能力的小型电路板，藏于设备屏幕后方。其目的据称是捕获用户的 24 词恢复短语，并通过蜂窝网络发送。恢复短语是加密钱包的主密钥，任何持有这 24 个单词的人都可以在另一台设备上重建钱包并转移资金，无需物理接触原始硬件。
损失与追踪
异常资金流失始于 2026 年 10 月 9 日左右。研究人员发现，比特币、以太坊以及 Tether 的 USDT 稳定币等多个区块链上的盗窃地址出现大量资金流入。多数损失记录于 10 月 9 日至 10 月 10 日之间。部分被盗资金据称通过 Tornado Cash 等混币器转移。Tether 据报道已冻结与盗窃地址相关的约 1000 万美元 USDT。
经销商收购说法尚未证实
X 平台上的一则帖子声称，攻击者不仅篡改了库存，还直接收购了一家经销商，使其签署保密协议，并通过在钱包中植入间谍芯片窃取超过 8000 万美元。Ledger 尚未证实有关收购经销商和签署保密协议的说法。
范围与 Ledger 立场
研究员 Mark Karpelès 记录了相关硬件。他的发现指向东南亚购买设备中的多代植入物。根据 Karpelès 的记录，这些植入物被设计为在不触发 Ledger 安全协议的情况下静默监控并提取敏感数据。CryptoBilis 为马来西亚、印度尼西亚和菲律宾客户提供服务。Ledger 的立场是问题仅限于经销商渠道。该公司表示，没有证据表明其核心系统或直接销售的产品受到影响。
用户应对建议
任何通过 CryptoBilis 购买 Ledger 的用户都面临一个不安的问题：如果植入物捕获了恢复短语，设备本身不可信，由该短语创建的任何钱包也不可信。对于已暴露用户，合乎逻辑的应对措施是将资金转移到在已验证设备上使用全新短语生成的钱包。
后续关注
接下来需关注：Ledger 或独立研究人员是否确认有多少设备携带植入物；更多被盗资金在退出混币器时是否会被冻结或追踪；攻击者收购经销商本身的说法是否成立，因为若成立，这将使一起库存被篡改的事件升级为可信销售渠道遭恶意接管。