冷钱包“神话”破灭？Ledger遭供应链攻击 8600万美元资产被洗劫

作者：Zeno 来源：Bitkoala考拉财经 

一直被币圈奉为“资产保险箱”的硬件冷钱包，正在遭遇史上最严峻的信任危机。

当硬件钱包的物理供应链被渗透，用户的助记词在设备屏幕上被“直播”给攻击者，自托管的安全基石还能稳固吗？

近日，全球最大的硬件钱包厂商Ledger遭遇了一场精心策划的供应链攻击。超过8600万美元的用户资产被洗劫一空，而幕后黑手的作案工具，竟然藏在一块不起眼的屏幕缓冲垫下面。

一、事件全貌：98个钱包被清空，损失超8600万美元

10月9日晚间，链上侦探Specter率先发文披露，监测到X和Reddit上陆续出现多起Ledger用户钱包被盗的报告。追踪相关地址后，Specter发现涉案地址已从以太坊、TRON、比特币等多条主流区块链上的数百个钱包收到资金，累计损失超过8600万美元，涉及约98个钱包地址。

这些受害者有一个共同特征——他们的设备都购自东南亚经销商CryptoBilis。CryptoBilis是一家位于马来西亚八打灵再也的Web3电商，在印度尼西亚、马来西亚和菲律宾等地拥有Ledger官方授权经销资格。

二、攻击手法揭秘：藏在屏幕缓冲垫下的“间谍芯片”

这起事件最令人不寒而栗的，不是攻击的规模，而是攻击手法的精密程度。

前Mt. Gox CEO Mark Karpelès率先拉响了警报。他在10月8日发文表示，自己从马来西亚购买的一台Ledger硬件钱包，外包装完好无损，拆开后却难以立即发现异常——植入物巧妙地隐藏在屏幕原本应有的缓冲垫位置，内含一个带SIM卡芯片的可疑模块。

慢雾首席信息安全官23pds据此推测了完整的攻击链路：钱包在安全元件（SE）内部生成助记词，然后显示在屏幕上供用户抄写。恶意模块通过SPI等屏幕数据线路，同步截取屏幕上显示的每一个字符，在用户完成助记词设置后，通过内置的LTE或eSIM将完整助记词发送给攻击者，最终导致资产被盗。

这个攻击路径的可怕之处在于：Ledger的安全元件本身没有被攻破，私钥也无法被直接读取或导出，但外部的硬件模块却能够“旁路”截取屏幕信息，让整个安全体系形同虚设。

三、官方回应与资金追缴：745万美元已流入Tornado Cash

面对汹涌的质疑，Ledger在10月10日至11日期间发布了正式声明。

Ledger确认，在受影响用户的设备中发现了未经授权的硬件植入物，目前正与相关执法部门合作追究涉事人员责任。出于谨慎考虑，Ledger已要求CryptoBilis暂停所有硬件钱包的销售与发货，直至调查结束。同时Ledger强调，目前没有迹象表明其内部安全基础设施、系统或服务遭到入侵。

CZ（赵长鹏）也在第一时间发文预警，提醒近期购买Ledger设备的用户提高警惕，并表示此次事件“似乎是局限于某一供应商的供应链攻击，少数用户可能购买了假冒或被篡改的Ledger设备”。他呼吁整个加密行业协助追踪并追回相关资金。

然而，资金追缴的难度不容乐观。据链上侦探Specter监测，10月9日至10日期间，与此次事件相关的攻击者地址已向Tornado Cash存入2990.3枚ETH，价值约745万美元。Galaxy研究主管进一步指出，仍有约7290万美元存放在攻击者控制的地址中，其余资金则通过跨链、兑换或分层方式进行了转移。

四、供应链安全，才是硬件钱包的真正命门

这起事件给整个加密行业敲响了一记沉重的警钟。

第一，“冷钱包绝对安全”的叙事正在被现实击穿。 硬件钱包的核心价值在于私钥永不触网，但此次事件证明：当物理供应链被渗透，即便核心芯片固若金汤，外围硬件也能成为助记词的“后门”。用户无法确认手中的设备从出厂到交付是否始终可信，自托管的安全边界正在被重新定义。

第二，经销商管理是硬件钱包厂商的“阿喀琉斯之踵”。 CryptoBilis的背景同样疑点重重。据披露，该公司原管理团队早在2026年3月就已退出，公司被收购后股权登记指向中国籍人士，但此前从未公开宣布易主。原CEO Arravind Prabu声称，因保密条款限制，需等到10月19日才能公开交易细节。经销商的信息不透明，让用户对设备的真实来源几乎无从辨别。

第三，对用户的现实警示： 如果你近期从CryptoBilis购买了Ledger设备且尚未初始化，请立即暂停设置；如果已完成设置，强烈建议使用新助记词创建新的钱包并转移资产。切记：Ledger官方永远不会要求你提供24个单词的恢复短语——任何以“客服”“技术支持”名义索要助记词的行为，都是诈骗。

硬件钱包的设计初衷是让用户“自己掌控资产”，但这场供应链攻击提醒我们：掌控的前提，是信任链条的每一个环节都经得起审视。 当这块基石动摇，整个行业的自托管叙事都需要一次严肃的反思。