10月13日，Ledger 安全团队 Ledger Donjon 罕见地把调查进展摊在了桌面上：他们确认，一起发生在东南亚的硬件钱包盗币事件，并非单个用户疏忽，而是指向一次针对 Ledger 设备的供应链攻击。受影响的签名设备由当地分销商 CryptoBilis 销售，经 Ledger Donjon 排查，这批设备的外壳内部被植入了未经授权的恶意硬件。根据公开的单一来源信息，这块额外的电路可以在用户首次初始化 Ledger 时，悄悄读取屏幕上依次显示的 24 个助记词，再通过内置微控制器和 eSIM，借助 LTE 蜂窝网络将这组“主钥匙”远程传出，目前已经出现的资金损失也被追溯到通过 CryptoBilis 渠道售出的相关设备。Ledger 将攻击点明确锁定在供应链和分销环节，而非自家官方生产线，并在通报中给出初步判断：现阶段仅能确认 CryptoBilis 渠道部分设备存在风险，尚无证据表明所有 Ledger 产品或其他地区经销商的设备遭遇同类植入。
恶意芯片潜伏外壳偷走助记词
Ledger Donjon 的通报显示，攻击者并没有动到官方生产线，而是把未经授权的硬件直接塞进了成品设备的外壳内部。这个额外植入的模块肉眼难以察觉，却被安放在足以“看见”屏幕的地方，能够读取设备上实际显示的全部内容。对普通用户而言，他们看到的是一只完好的 Ledger，封装完整、界面正常，任何软件层面的检查都不会发现异样，因为被篡改的根本不是固件，而是设备的物理结构。
真正致命的时刻发生在用户最放松、也最信任硬件的一刻——初始化设备、抄写那 24 个助记词。按照公开信息，这块恶意硬件会在助记词显示到屏幕上的瞬间，将整组 24 个单词完整截取下来，然后通过内置的微控制器和 eSIM 模块，借助 LTE 蜂窝网络直接向外发送。整个过程不依赖电脑、手机，也不需要任何软件木马介入，看上去依然符合“私钥从不联上网络”的最佳实践，只是这一次，所谓的“离线安全”被供应链中的一块隐藏芯片悄悄掏空，这也是此次事件最让硬件钱包行业不安的部分。
东南亚经销链路被攻破
Ledger Donjon 在通报中把“刀口”指向供应链而非工厂产线：现有证据显示，恶意硬件的植入发生在东南亚分销链路中，而不是 Ledger 官方生产环节本身。也就是说，走下生产线的设备最初是“干净”的，问题出在随后被交到用户手里的那一段经销流程，这是一场典型的供应链层面的物理篡改，而不是传统意义上的固件后门或软件攻击。
据公开材料中的单一来源，目前已确认的资产损失案例，都与通过东南亚经销商 CryptoBilis 购入的 Ledger 设备相关，风险在地理和渠道上看似被集中在这一条线索上；同一时间，尚没有证据表明其他地区经销商或全部 Ledger 设备出现了同类攻击迹象。对 Ledger 来说，这种“渠道污染”一方面允许它在叙事上与官方生产线切割责任，另一方面却在东南亚用户心中撕开了更大的裂口——当连标着品牌 Logo、来自授权分销商的设备都可能在中途被“做手脚”，区域用户很难再简单地用“是否官方直购”“是否授权代理”来判断安全与否，而这正是对硬件钱包品牌信任体系最直接、也是最难修复的一次打击。
硬件钱包安全神话被撕开裂缝
在很多加密用户心里，“硬件钱包＝私钥不直接触网＝最安全”的等式几乎是常识，离线签名、隔离网络被当作对抗一切黑客的终极护身符。但这次事件恰恰是反向利用了这套心智：恶意方并没有去攻破 Ledger 的固件或签名算法，而是在设备外壳内部额外植入未经授权的硬件组件，在用户最放松、最信任的初始化环节，通过读取屏幕显示内容截取 24 个助记词，再依托内置微控制器和 eSIM，经 LTE 蜂窝网络偷偷向外传输。对普通用户而言，“插上电脑、按提示抄下助记词”这一看似离线、可控的流程，被证明可以在供应链被污染的前提下完全失守。
这也逼着市场重新划出一条此前常被模糊掉的边界：设备“设计层面”的安全性，与“供应链执行层面”的安全性并不是一回事。据 Ledger Donjon 目前的调查，已经确认的问题设备都来自东南亚分销商 CryptoBilis 渠道，攻击点位于供应链和分销环节，而非 Ledger 官方生产线，相关恶意硬件属于额外植入的未授权组件，公开信息也未显示官方生产流程中存在系统性植入行为。换句话说，现有证据指向的是一次严重的区域供应链攻击，而非所有 Ledger 设备天然带毒的结构性灾难，在承认神话被戳破的同时，仍需避免把“这批被做手脚的机器”简单等同于“所有硬件钱包都不再安全”。
供应链攻击成本高却难完全防住
从攻击者视角看，在外壳内部硬塞一块“幽灵芯片”，远比钓鱼链接、假网站这类套路昂贵得多：必须先拿到实体设备，拆开、改装，再设法重新封装到足以混过分销商和终端用户的肉眼检查。但一旦成功，这块恶意硬件就能在用户最放松、也是最关键的初始化环节，读取屏幕上滚动出现的 24 个助记词，并通过内置微控制器和 eSIM 接入 LTE 蜂窝网络将其悄悄外传（据单一来源）。它直接绕过了软件更新和固件校验等常规防线，相当于在“保险箱”里提前埋好了第二把钥匙，对少量高价值目标而言，这种高成本换高回报的定向攻击路径依然具备吸引力。
对终端用户来说，这类供应链攻击几乎没有可见线索：恶意硬件藏在外壳内部，外观和系统界面与正常设备无异，用户既看不到异常弹窗，也收不到篡改固件的告警，很难通过肉眼或常识性检查把问题设备挑出来。此次事件集中出现在特定分销商渠道，说明真正被攻破的往往不是芯片设计室，而是看似“只是卖货”的经销环节。接下来，谁来为这段链路负责，可能会成为整个行业不得不回答的问题：经销商的准入与审计、设备流转的溯源记录、防拆封条与外壳设计是否足够敏感地暴露“动过刀”的痕迹，都可能从过去的附属考虑，变成硬件安全模型中需要重新加粗的一道边界。
避坑清单：如何挑选更安全钱包
在这次事件里，真正出问题的是CryptoBilis这一分销链路，而不是Ledger官方生产线本身，Ledger Donjon也已经对外确认并持续调查受影响设备。这对普通用户最直接的动作建议，是把“在哪里买”和“怎么初始化”当成安全模型的一部分：硬件设备尽量只从官方商城、官方列出的授权渠道或长期信誉明确的一级商家购入，避开来源不清、价格明显异常的“折扣货”。拿到设备后，在你完全信任的环境里初始化，不在办公室、网吧、出租屋等复杂场景抄写助记词，更不要拍照、截图、云备份；一旦24个助记词在初始化阶段被恶意硬件截取并通过蜂窝网络外传，对应地址里的资产就随时可能被转走。当前公开信息显示，已知风险主要集中在CryptoBilis渠道的部分设备，尚无证据指向所有Ledger钱包或其他地区经销商普遍“带毒”，也暂未披露明确的召回或补偿流程，这意味着在Ledger Donjon进一步通报前，你需要主动关注官方后续公告，结合自己设备的购买渠道和使用场景，动态调整持币分散、热冷分离等习惯，把可控的人为风险压到更低。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。
