核心摘要
- 一个有组织犯罪团伙耗时数月购入正品 Ledger 设备，拆机植入可窃取 24 词助记词的定制硬件，再经东南亚经销渠道重新销售。
- 植入件在设备初始化时读取恢复短语，并通过内置 eSIM 的 LTE 移动网络将信息外传给攻击者；攻击者还搭建了收集、盗取与洗钱基础设施。
- Ledger 确认芯片、操作系统与服务器均未遭入侵，定性为「局部经销渠道攻击」而非系统性供应链攻击。
- 独立调查者估算被盗加密资产介于 8,600 万至 9,300 万美元之间；Ledger 尚未确认官方总额。
- Ledger 已要求印尼、马来西亚、新加坡、泰国、越南、菲律宾及香港的授权经销与分销暂停销售，并禁止设备陈列与退货再售。
📑 文章目录
- 事件概述：硬件植入攻击如何发生 — 从拆机到外传的完整链路
- Ledger 的应对与停售范围 — 七地经销暂停与新规
- 损失规模与调查边界 — 为何总额仍待确认
- 对自托管用户与行业的启示 — 您应如何降低供应链风险
- 常见问题（FAQ）
版权声明：Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。
据 Ledger 官方于 2026 年 10 月发布的调查声明，一个有组织犯罪团伙实施了业内罕见的高度复杂攻击：在数月内持续购入正品 Ledger 硬件钱包，拆解后装入专门设计的隐藏组件，用于在设备初始化过程中捕获用户的 24 词恢复短语（recovery phrase），再经东南亚分销渠道将改装设备重新投入市场。该事件指向一个被长期忽视的合规与安全盲区——硬件钱包的物理供应链，而非密码学安全元件本身。
事件概述：硬件植入攻击如何发生
从拆机到外传的完整链路
攻击者购入正品设备后开盖植入额外硬件，该组件能在设置或恢复过程中识别并解码 24 词助记词，随后通过一枚集成 eSIM 的 LTE 模组经移动网络将信息发往攻击者控制的服务器。Ledger 安全实验室 Donjon 拆解该植入件后确认，它是一块独立外挂组件，不修改安全元件（Secure Element）、操作系统，也不干预任何交易或签名——这意味着 Ledger 标准的完整性自检无法发现它。攻击者还自建了助记词收集、资产盗取与洗钱基础设施，投入据称达数百万美元，并在一次协调行动中集中「收割」钱包。
Ledger 的应对与停售范围
七地经销暂停与新规
Ledger 已要求印尼、马来西亚、新加坡、泰国、越南、菲律宾及香港的授权经销商与分销商暂停销售，并将受影响产品撤下货架；调查始于 2026 年 10 月 9 日用户报损，10 月 10 日确认至少一台设备含未授权植入件。作为额外预防措施，Ledger 同步对自有库存进行抽样筛查，未发现 compromised 设备。新规要求：产品不再上架陈列，库存置于后台、于购买时交付；退回设备无论外观多新均不得任何形式的再售。
损失规模与调查边界
为何总额仍待确认
独立区块链调查者估算，经 CryptoBilis 等渠道售出的受影响设备导致被盗加密资产介于 8,600 万至 9,300 万美元之间，但 Ledger 未确认官方总额。事件最初与东南亚经销商 CryptoBilis 关联；Ledger 强调所有确认的资金损失均与该渠道相关，尚未核实其他地区售出设备的盗损。德国电子零售商 MediaMarkt Saturn 亦在一名客户报告植入件后暂停销售（该案例无资金损失）。竞争对手 Trezor 同期宣布将大幅收缩经销网络，相关合作于 2027 年 1 月 1 日终止授权。
对自托管用户与行业的启示
您应如何降低供应链风险
对自托管用户而言，安全元件的完整性并不等于整条物理供应链的安全——软件层面的 Genuine Check 只能确认主芯片，无法识别安全元件之外的外挂电路。实务上，用户应仅从 Ledger 官网或官方授权清单中的经销商购买；若近 90 天曾从 CryptoBilis 购入且尚未初始化，不应启用；已启用的应迁移至使用全新助记词的新设备。对任何到手即预填助记词或 PIN、包装已拆封的设备均应拒收，且完好封条亦非安全证明，因为封条可被复制。永远不向任何人（含自称官方客服者）透露助记词。
常见问题（FAQ）
这次事件是否说明 Ledger 的硬件不安全？
并非如此。Ledger 明确表示芯片、操作系统与服务器均未遭入侵，攻击发生在设备离开其控制之后的经销渠道，属于局部分销攻击而非系统性供应链攻破。对用户而言，风险点在于「正品外壳 + 外挂电路」的改装设备，而非 Ledger 自身的密码学设计。
从 CryptoBilis 购入的设备一定被盗过吗？
不一定。Ledger 称受影响设备数量有限，且每个确认的损失都涉及 CryptoBilis 渠道设备，但未给出官方被盗总额；最稳妥的做法是假定相关设备不可信并迁移资产。若设备尚未初始化，切勿启用；若已启用，应立即将资产转移至使用全新助记词的隔离设备。
来源：Ledger 官方声明，Ledger’s Response to the Hardware Implant Attack，2026-10；Gate.io 新闻，Ledger 暂停东南亚销售，2026-10；Coinpaper，Ledger Halts Wallet Sales Across Southeast Asia，2026-10