长期被当作“最稳妥存币手段”的冷钱包，如今也出现了安全漏洞。

10月9日晚间，链上侦探Specter发文指出，监测到X和Reddit平台上陆续有多起Ledger用户钱包失窃的报案。在追踪关联地址后，Specter发现，涉案地址已从以太坊、TRON、比特币等数个主流区块链上的数百个钱包中接收资金，累计损失超过8600万美元。

从供应链异常到疑似硬件植入，问题根源在哪？

失窃事件发生后，Ledger官方随即发布声明，将调查方向指向了一家名为CryptoBilis的经销商。

Ledger表示，公司正调查一起涉及东南亚用户的资产被盗事件，相关用户此前通过经销商CryptoBilis购买了设备。Ledger已要求该经销商暂停销售及发货，并建议过去90天内通过该渠道购买设备的用户暂勿初始化；已完成设置的用户，应使用新的助记词创建新的Ledger签名设备，并将资产转移至新钱包。

更具体的线索来自前Mt. Gox前CEO Mark Karpelès。早在10月8日，Karpelès就曾预警市面上有人正在出售带有隐藏SIM卡的假冒或篡改Ledger设备，这些SIM卡能够传输被窃取的助记词。

而在事件发生后，Karpelès进一步披露表示，自己从马来西亚购买的一台Ledger硬件钱包外包装完好，但屏幕衬垫下方却藏有一个带SIM卡芯片的可疑模块。

慢雾首席信息安全官23pds据此推测，攻击者可能通过恶意模块截取设备屏幕显示的数据，在用户初始化钱包、查看助记词时记录恢复短语，再通过LTE或eSIM将信息传输出去。

此类攻击的危险之处，在于它可能绕过用户对硬件钱包安全性的常规认知。硬件钱包的安全元件能够保护私钥，避免其被直接读取，却不一定能够阻止外围硬件截取屏幕信息。换句话说，即使核心安全元件未被攻破，设备遭到实体篡改，仍可能导致助记词泄露。

不过，上述攻击机制目前仍属于技术推测，此次安全事件的具体原因，尚待进一步验证。另有观点认为，攻击者之所以选择在昨日行动，正是因为Karpelès的警告正在逐步传播，攻击者因担心行动已暴露，所以才开始进行资金。

如果这一攻击路径最终得到证实，那么此次事件暴露的就不只是某款钱包的安全问题，而是一个更根本的风险：当用户无法确认手中的硬件从出厂到交付都保持可信时，自托管还能有多安全？

兰博基尼、保密限制、股权易主……CryptoBilis全身都是疑点

随着调查深入，涉事经销商CryptoBilis的背景也逐渐浮出水面。

CryptoBilis是一家位于马来西亚八打灵再也的Web3电商及自托管工具销售商，业务包括硬件钱包等产品。根据公开资料，该公司由Arravind Prabu和Vimal Selvamany共同创立，前者担任CEO，后者担任CTO。

但在事件引发关注后，Arravind Prabu很快在X上澄清，称外界关于其仍在运营CryptoBilis的说法并不准确。公司早在今年3月就已被收购，原管理团队已退出所有运营、管理及系统权限。对于当前事件，他建议外界联系一个现任负责人Nicholas Chang（[email protected]）。

社区用户随即继续追问，既然公司已经易主，为何此前没有公开官宣，账号最近一条动态甚至还在晒兰博基尼……Arravind Prabu对此回应称，该动态由新管理团队发布，原团队因合同中的保密条款，必须等到10月19日才能公开宣布交易，且目前已无法访问公司的账号、后台及运营系统。

原管理层已经退出运营，是前CEO的公开说法；至于交接后公司内部究竟发生了什么，目前仍缺乏独立核实的信息。

另一条更受关注的线索来自公司股权。Bitcoin News在事发后披露，相关股权转移记录显示，某个名为JIAMING、登记地址位于中国黑龙江省的个人，自8月3日起便已持有CryptoBilis 100%的股份。

这意味着，至少从公开信息来看，CryptoBilis明面上确实已在疑似供应链攻击发生前数月易主。不过，股权变更的具体交易安排、新管理层的实际运营情况，以及新股东是否与涉案设备有关，目前都没有确凿证据可以确认。不能仅凭新股东的登记地址或收购时间，就将其与盗窃事件直接联系起来。

面对调查，CryptoBilis已通过官方X账户公开宣布暂停马来西亚、菲律宾及印度尼西亚所有门店和线上渠道的硬件钱包销售及发货，实体门店暂时关闭。该公司称，此举旨在配合Ledger安全事件调查，并接受独立专家对内部流程的审查；尚未交付的订单将由客服主动联系处理，进一步的进展预计在三个工作日内公布。

截至发文，事件的最关键疑问仍未解开——设备究竟在哪个环节遭到篡改，原有供应链是否被人利用，以及现任管理团队能否提供足以还原交付过程的记录——这些问题都需要等待后续的调查和披露给出答案。

个体损失案例：某大户一周前才刚买了钱包……

从目前的链上追踪情况来看，此次事件的损失不仅规模惊人，资金流向也呈现出不同特征。

Galaxy研究主管Alex Thorn分析表示，与此次Ledger、CryptoBilis供应链事件相关的比特币损失暂为213.42枚，按当时价格计算约合1770万美元。其中，约92%的比特币在被归集时，持有时间不足90天。目前追踪到的相关BTC仍未花费，集中存放于3个归集地址。

个体受害者的损失更加触目惊心。Lookonchain监测表示，一名地址标记为TY24Ya的用户在三周前购买了相关Ledger设备，随后向钱包存入700万枚USDT，但这笔资金已在约10小时内被全部转走；另有一名用户在四个月前以约520万美元买入80枚BTC，期间一度浮盈约138万美元，却在一周前从CryptoBilis购买Ledger设备后，将全部BTC转入该设备，最终遭遇全额损失。

资金还能追回吗？

事件发生后不久，攻击者便迅速开始了洗钱与混币流程。

链上分析机构Onchain Lens追踪表示，疑似攻击者已通过4个钱包向Tornado Cash存入430.2枚ETH，价值约107万美元，试图斩断以太坊链上的溯源链路。

与此同时，业界也开始了对攻击者赃款的“围堵”。Tether目前已冻结了与此次事件相关的部分USDT，但黑客的应对同样狡猾而专业，在Tether出手之后已迅速利用波场生态的SUN.io与USDD PSM机制，将未被冻结的USDT闪电兑换为抗审查性更强的去中心化稳定币USDD，部分转账还涉及了币安热钱包（或成为后续辨识黑客身份的线索）。

眼下，追赃的关键在于能否及时识别并拦截仍留在中心化平台或可冻结稳定币地址中的资金，已经进入混币协议、跨链流转或其他复杂路径的资产，追踪和追回难度则可能进一步上升。

截至目前，Ledger尚未公布完整的资金追回方案，也未披露受害者赔偿安排。随着调查推进，资产能否追回、责任由谁承担，仍有待进一步确认。

冷钱包，已不再是绝对安全的答案

长期以来，冷钱包一直被视为加密资产自托管最可靠的方案之一，Ledger更是这一市场中最具代表性的品牌。与交易所托管相比，用户自己保管私钥，原本就是为了减少对第三方的依赖。但这次事件提出了一个令人不安的问题 ——如果用户购买的设备在交付前就遭到实体篡改，即使包装完好、核心安全元件没有被攻破，资产仍可能面临风险。

当然，目前事件的具体攻击路径尚未得到最终确认，也不能据此否定硬件钱包的整体安全性，但它至少提醒用户，安全不只取决于设备本身，还取决于购买渠道、初始化过程以及助记词的保管方式。

当风险可能从供应链的源头开始，连看似最安全的自托管方案都可能失守。这一次，确实是让人防不胜防。

本文来自微信公众号 “Odaily”（ID：o-daily），作者：Azuma；编辑：郝方舟，36氪经授权发布。