8600 万蒸发：Ledger 供应链劫案，硬件钱包最脆弱一环

据 Woofun AI 消息， 硬件钱包遭遇严重供应链安全危机，其官方授权经销商 被证实向用户分发经过恶意改装的设备，导致大量数字资产在初始化阶段即遭窃取。

此次事件的爆发始于一个看似完美的自托管案例：一名用户将 80 枚转入新购入的 Ledger 设备，该设备购自官方渠道，助记词由用户亲手抄写并锁入保险箱。这批资产于 9 月 29 日到账，买入成本约为 520 万美元，期间浮盈一度达到 138 万美元。

然而，在 10 月 9 日 05:54（UTC），这 80 枚 在一笔交易中全部被转走。同一天上午，社交媒体上涌现出大量类似报告，包括一名用户的 设备被转走近 10 万 ，其助记词同样经过手写并妥善存储。这些受害者的唯一共同点是，设备均购自东南亚经销商 CryptoBilis。10 月 9 日 13:32（UTC），Ledger 正式确认正在调查此事，并要求 CryptoBilis 暂停所有 Ledger 设备的销售与发货；

同时警告过去 90 天内从该渠道购买设备的用户，若未初始化请勿操作，若已初始化则应立即将资产转移至使用新助记词生成的新设备。

关于损失规模的估算，各机构数据存在差异但均指向巨额损失。链上调查员 在 12:24 率先公布十个归集地址，覆盖比特币、与，估算损失超过 8600 万美元；另一位调查员 列出其中八个地址，给出超过 7200 万美元的估值；旗下 称数字'正在接近 9000 万美元'； 覆盖 311 个钱包，估算约 9290 万美元，其中以太坊约 4200 万、比特币约 1760 万、USDT 约 1650 万。 已将这些地址标注为'Ledger Theft'，截至周五下午，被标记地址中仍留存约 7150 万美元，最大头寸包括约 2940 万美元的 、1750 万美元的 BTC、1360 万美元的 与 1080 万美元的 USDT。

受害者画像分析揭示了攻击的精准性。 监测到，某地址在三周前购入设备后存入 700 万枚 USDT，约在报告前十小时被全部转走，可能是本次最大的单笔损失；另三个被标记的比特币地址在 13:44（UTC）合计持有约 211 枚 BTC，当时尚未转出。本次事件涉及约 98 个钱包，平均每个损失约 89 万美元。这与今年 7 月 因固件随机数缺陷导致的损失形成鲜明对比：Coldcard 事件损失约 1.11 亿美元，但分散在 5200 多个钱包上，平均每个仅约 2.1 万美元；而 CryptoBilis 事件在不到一天内损失约 8700 万美元，却只涉及约 98 个钱包。

这种分布差异支持了'植入模块'的推断：攻击者掌握每一台被改造设备上生成的助记词，因此可以等待资金进入后再行窃取，且专挑高价值目标。Lookonchain 监测的那 80 枚 BTC，正是在设备中安静躺了十天之后被一次性转走的。

Woofun AI 整理数据显示，技术层面的拆解揭示了攻击路径。Mt.Gox 前 CEO 称，他收到的一台设备来自马来西亚，在亚马逊上以半价挂出，从马来西亚而非他下单的日本发货。拆开后，他在屏幕衬垫位置发现了一个隐藏模块：包含一根天线的单股导线、被缩短的电池或被去掉的屏幕衬垫腾出的空间、一个带 eSIM 的 LTE 模块，以及一颗接在设备 SPI 总线上的微控制器。