Ledger硬件钱包遭物理植入攻击，链上损失超9200万美元

Ledger于2026年10月10日通报，一名客户所购的Nano X硬件钱包内发现未经授权的物理植入物。该事件源于对CryptoBilis（东南亚授权经销商）销售的钱包资**常流失的调查。公司强调当前无证据显示其系统或服务被入侵，表明攻击发生在从工厂到终端用户的物理运输链条中。

链上损失与技术细节

尽管独立损失估算尚未获得Ledger正式确认，但区块链分析机构Bitquery指出，相关交易涉及约9290万美元，分布在311个钱包中。这一数据仍待进一步核实。攻击手法由Tibane Labs披露：修改后的设备在显示屏供电线路中加入额外电路，当用户**设置时，合法安全芯片生成助记词并显示在屏幕上，而植入物则实时捕获显示内容，并通过集成eSIM与定制天线将信息发送至攻击者。

整个过程无需破解芯片、输入密码或签署**文件。攻击者仅需持有助记词即可在其他设备上重建钱包，并等待资金注入。研究记录了三代不同形态的植入版本：早期使用可见导线和替换电池；中期采用柔性电路板；**一代则隐藏于屏幕下方，保留原装电池，外观几乎无异。这些样本来自日本市场，但尚未建立与CryptoBilis之间的直接关联。同时，Ledger也未明确每位受害者是否均收到相同设计的设备。

关键时间线与证据链

2025年8月：Reddit用户**报告可疑的Nano X设备。2026年5月：硬件研究员Joe Grand公开逆向工程成果，展示可被篡改的原型。2026年9月：Tibane Labs在日本渠道获取两台改装设备样本。2026年10月9日：Ledger启动调查，并要求CryptoBilis暂停销售与发货。2026年10月10日：公司正式确认存在非法硬件植入。

官方验证机制的局限性

Ledger的安全文档指出，“正版检查”仅能验证安全元件是否为**芯片，但无法检测内部是否存在附加电路。这意味着即使芯片合法，设备仍可能被物理篡改。因此，即便通过授权经销商购买，也无法**排除风险。

CryptoBilis方面亦存在疑点。联合创始人Arravind Prabu与Vimalatheethan向Tibane Labs透露，该公司已于2026年3月完成运营交接，新东家接手后，原团队已无法访问系统或客户资料。目前尚无公开证据指向新东家参与此次事件。

资金流向与追回挑战

Bitquery追踪到被盗资金穿越TRON、Bitcoin、Ethereum、BNB Chain及Polygon等多个网络。交易行为显示，一名参与者长期持有助记词，并在25个钱包中实施三秒内清空操作，此前有两周小额测试转账。超过80%的受害钱包自2026年6月起接收首笔存款，暗示篡改设备已在市场流通数月，但资金注入时间不等于购买时间。

部分资金已被冻结。例如，约1254枚ETH于10月9日转入混币协议Tornado Cash，而Tether已冻结涉嫌账户中约1000万美元的USDT，阻止了资金转移但未返还给受害者。其他独立评估的总损失区间为8600万至9400万美元。一段社交媒体流传的拆解视频展示了带有额外电路的设备，但声称“所有该经销商发售的钱包均被修改”的说法未获Ledger或调查方证实。

用户应对建议

Ledger建议：通过CryptoBilis购买且尚未初始化的用户应保持设备原封不动；已设置的用户须将资产迁移至全新助记词创建的可信硬件钱包。若助记词已泄露，重置设备或尝试恢复旧助记词均无效。用户还应警惕非官方的“助记词恢复”服务，**正规支持人员**会索要助记词。

CryptoBilis已停止销售，Ledger正联系受影响客户，配合执法部门调查，并着手开发更严格的防篡改机制。当前仍存多个未解问题：有多少改装设备仍在流通？植入行为发生于分销哪个阶段？当授权渠道交付受控设备时，责任归属如何界定？

历史对比与安全警示

这是两个月内第二次出现屏幕作为安全漏洞的案例。2025年8月27日，Ledger发布三项安全公告，其中一项涉及Secure SDK漏洞，允许恶意主机在参数显示后篡改交易内容；另两项为以太坊应用中的逻辑错误，已在版本1.22.3中修复。公司称无证据表明上述漏洞被实际利用。相比之下，本次事件带来的损失真实发生，且无法通过软件更新**物理组件的影响。