Ledger称在CryptoBilis售出设备中发现未经授权的硬件植入物

加密钱包制造商Ledger已确认，一台与近期用户资金损失事件相关的设备中被植入了未经授权的硬件模块。该公司表示，目前所有已确认的案例均涉及通过东南亚经销商CryptoBilis分销的产品。 在10月10日发布的一份声明中，Ledger支持团队表示：“Ledger可以确认，其中一名受影响用户的设备中被植入了未经授权的硬件模块。”公司补充称，作为持续调查的一部分，正在积极联系受影响用户；CryptoBilis已暂停其所有硬件钱包库存的销售，直至调查结束。 在10月11日的后续更新中，Ledger指出受影响的设备数量似乎有限。公司表示：“迄今为止，所有与2026年10月9日披露的资金盗取事件相关的已确认案例，都涉及通过东南亚经销商CryptoBilis售出的设备。”并补充称，其内部系统和直销渠道未受影响。 硬件植入物的确认，标志着首次有具体证据支持此前关于供应链遭篡改的猜测。 该事件最早于上周五曝光，当时Ledger承认正在调查通过CryptoBilis购买设备的客户出现资金失踪的报告。CryptoBilis在印度尼西亚、马来西亚和菲律宾开展业务。 尽管Ledger尚未确认官方损失金额，但第三方链上研究人员估计，来自多条区块链（包括比特币、以太坊和波场）上300多个钱包的损失在8600万至9300万美元之间。公司重申，没有迹象表明其内部安全基础设施、系统或服务遭到入侵。 Ledger表示，公司正在与相关当局合作。公司还提醒其经销商网络，只能通过授权渠道采购产品，并严格禁止将退货产品重新入库。 公司再次向通过CryptoBilis购买设备的客户重申了此前的安全指引：“不要初始化尚未使用的设备。如果已经完成设置，请迁移到来自Ledger设备的新助记词。”公司敦促受影响用户联系Ledger官方支持，并向当地执法部门报案。 Ledger还警告称，诈骗者常常试图利用此类事件，并提醒用户，公司绝不会致电、私信或索要其24个单词的恢复短语。 Ledger事件再次引发了业界对硬件钱包安全性的更广泛质疑。在2022年FTX交易所崩盘后，数百万投资者将资产转向自托管，严重依赖Ledger和Coinkite（Coldcard的制造商）等公司生产的实体硬件钱包，以将私钥完全离线保存。 然而在实践中，物理存储并非对漏洞免疫。 据链上研究人员的数据，2026年7月，Coldcard助记词生成固件中的一个缺陷，曾让攻击者盗走约1亿至1.3亿美元的比特币。 在本次攻击事件中，Ledger坚称硬件篡改严格限于CryptoBilis分销的那一批产品，公司正在采取必要措施以避免此类风险。 Ledger在10月11日的帖文中表示：“安全并非一成不变，这起事件凸显了我们为何要持续审查并加强我们的分销与防篡改流程。” 公司补充称，正在审查授权经销商管控措施、推进硬件防护，并呼吁业界在保管链实践方面做出更广泛的改进。 尽管如此，关于供应链是如何被攻破的猜测仍在流传。 币安联合创始人赵长鹏（CZ）在X平台发帖称，攻击者“显然买下了这家经销商，并让他们签署保密协议以封口”。 这些说法尚未得到独立核实。CryptoBilis未立即就此事或赵长鹏的具体指控回应置评请求。