硬件钱包防线告急：Ledger 后门致 9000 万美元损失

据 Woofun AI 消息，2026 年硬件钱包行业陷入信任危机， 设备遭恶意篡改事件迅速发酵，引发市场剧烈震荡。这一动荡基调由马来西亚经销商 的违规操作直接引爆，并得到行业观察者 Wise Advice 的定性评价，指出今年极可能成为硬件钱包安全领域最为动荡的年份之一。

Ledger 在周六确认，一名受害者的设备内存在未经授权的硬件植入物，随后在周日的最新通报中披露，所有已确认案件均与马来西亚经销商 CryptoBilis 有关。随着调查深入，Ledger 正与相关当局合作，并主动联系受影响用户，强调受影响的设备数量有限。链上分析人士估计，此次事件造成的损失金额约为 9000 万美元，其中一名买家在设置设备仅几天后就损失了 80 枚比特币。Ledger 尚未公布具体的总损失金额，但 CryptoBilis 已停止销售硬件钱包，其前联合创始人在领英上表示，他们已于 3 月将公司交给了新所有者。

值得注意的是，部分用户反映数周前从欧洲的官方商店购买的 Ledger 钱包并非正品，尽管 Ledger 尚未确认除 CryptoBilis 之外的其他类似案件。Ledger 建议用户仅从该公司或其授权经销商处购买产品，并告知 CryptoBilis 的购买者不要启用未使用的设备，应将资金转移到新的恢复短语中。Ledger 的"真伪检测"功能可以确认设备的安全芯片是否为正品，但它无法察觉到芯片周围的任何物理改动，这暴露了现有验证机制的局限性。

全行业安全危机全景显示，2026 年已有六家硬件钱包品牌曝出安全问题，但仅有两起案例导致用户损失加密货币。7 月 30 日，窃贼开始盗取那些使用随机性较弱的密钥所生成的 钱包中的资金， 随后称，Coldcard 因此遭受的损失已超过 1.15 亿美元。6 月，Ledger 的内部安全团队利用激光破坏了 Safe 7 设备中的芯片；7 月则对 卡片发动了类似攻击。

这两种攻击都需要获取目标设备并配备专业的实验室设备才能实施。Trezor 表示用户的资金依然安全；Tangem 则称普通用户面临的风险"几乎不存在"，并指出开展相关研究的人员来自其竞争对手公司。8 月， 修复了其工程师认为较为严重的几处固件缺陷，且未报告有任何资金被盗情况。其他一些事件虽然泄露了信息，但并未涉及用户的私钥。Trezor 的物流合作伙伴泄露了 13,689 名买家的数据，而 的数据泄露事件则暴露了近 40,000 个家庭地址。

Woofun AI 整理数据显示，这些事件涵盖了从物理篡改到数据泄露的多种攻击向量，其中 Trezor 指出钓鱼攻击依然是日常中最主要的威胁，BitBox 则建议用户及时安装更新，并且只在设备本身上输入恢复短语。

硬件钱包的安全结论指向无绝对安全，因为今年在实验室之外尚未有安全芯片被破解的案例，但 Coldcard 和 Ledger 的用户仍因弱密钥以及被篡改的设备而遭受了财产损失。24 字恢复短语作为资产控制的最后防线，其存储于离线环境的设计初衷并未改变，但攻击者瞄准了与这一恢复短语相关的几乎所有环节。Ledger 呼吁其他钱包制造商共同制定统一的防篡改及资产监管标准，以应对日益复杂的威胁。这表明，单纯依赖硬件隔离已不足以保障资产安全，行业需建立更全面的防护体系。