Ledger称在CryptoBilis售出的至少一台设备中发现未授权植入物

Ledger于10月10日通过Ledger Support表示，可以确认一名受影响用户的设备含有未授权硬件植入物。公司称正作为持续调查的一部分积极联系受影响用户，CryptoBilis已暂停所有硬件钱包库存的销售，直到调查结束。10月11日，Ledger在后续更新中称，受影响设备数量似乎有限，截至目前所有与2026年10月9日披露的资金被抽走事件相关的已确认案例，均涉及通过东南亚经销商CryptoBilis销售的设备；其内部系统和直销渠道未受影响。Ledger称，这一物理植入物的确认，是首次有具体证据支持此前关于供应链篡改的猜测。

事件最初于周五曝光，当时Ledger承认正在调查通过CryptoBilis购买设备的客户资金失踪的报告。CryptoBilis在印度尼西亚、马来西亚和菲律宾运营。Ledger尚未确认官方损失数字，但第三方链上研究人员估计，多个区块链上超过300个钱包被盗，金额在8600万至9300万美元之间，涉及Bitcoin、Ethereum和Tron。Ledger重申，没有迹象表明其内部安全基础设施、系统或服务遭到入侵，并称正在与相关当局合作。

Ledger提醒其分销商网络，只能通过授权渠道采购产品，并严禁将退回产品重新上架。对于通过CryptoBilis购买设备的客户，公司重复了此前的安全指引：不要初始化未使用的设备；如果已经设置，应转移到从Ledger直接获得的设备上的新种子。公司还敦促受影响用户联系官方Ledger Support，并向当地执法机构报案。Ledger同时警告，诈骗者常试图利用此类事件，并提醒用户公司绝不会打电话、发私信或索要24词恢复短语。

该事件再次引发行业对硬件钱包安全的更广泛疑问。2026年7月，Coldcard的种子生成固件缺陷曾让攻击者盗走估计1亿至1.3亿美元的比特币。Ledger坚称，此次物理篡改严格限于CryptoBilis分销的批次，并称正在审查授权经销商控制、推进硬件保护，同时呼吁行业整体改进链式保管实践。待核实点包括：供应链究竟如何被突破、官方最终损失数字、受影响设备的具体范围，以及Binance联合创始人赵长鹏（CZ）在X上关于攻击者“显然买下经销商并让他们签保密协议”的指控——该说法尚未被独立核实，CryptoBilis也未立即回应对事件或赵长鹏具体指控的置评请求。

来源说明：本文依据 CoinDesk 公开页面整理，未复制原文全文。

原文链接：https://www.coindesk.com/tech/2026/10/12/ledger-says-unauthorized-implant-found-in-at-least-one-device-sold-by-cryptobilis