撰文：Gandalf，Techub News
硬件钱包的安全叙事建立在一个前提上：
只要私钥不触网，资产就是安全的。
2026 年 10 月 9 日开始发酵的 Ledger 盗窃事件，攻击的恰恰是这个前提之外的环节 —— 设备到达用户手里之前的那段路。通过东南亚授权经销商 CryptoBilis 购入 Ledger 硬件钱包的用户遭遇大规模盗币，链上追踪的损失估算最高已超过 9300 万美元，而多条线索显示，这场攻击早在数月前就已开始布局。
以下按时间顺序完整复盘事件至今的全部节点。除特别标注外，时间均为香港时间（UTC+8）；损失数字均为第三方链上分析口径，Ledger 官方尚未确认最终金额。
设备取证示意图，Techub News 制图
序章：三月的一次悄然易主
2026 年 3 月 马来西亚公司 CryptoBilis —— Ledger 在马来西亚、印尼、菲律宾三国的授权经销商 —— 完成股权转让。据事后曝光的企业注册记录与前联合创始人说法，原股东在收购后退出全部运营、管理与行政职务，并被要求签署保密协议、不得公开披露这笔交易。
2026 年 8 月 3 日 注册信息显示，一名来自中国黑龙江省、名为 Jiaming 的个人自此持有 CryptoBilis 100% 股份。这两个日期在事发后才被挖出，成为「攻击者提前布局」猜测的核心依据 —— 但需要强调，目前没有结论性证据证明易主与盗窃案存在直接关联。
10 月 8 日：被忽略的预警
10 月 8 日 前 Mt.Gox CEO Mark Karpelès 在 X 上发出预警，提醒用户警惕来路存疑的 Ledger 设备。当时这条推文没有引起太大关注 —— 直到 36 小时后人们回头再看，才意识到这可能是整场风暴的第一声惊雷。事后有分析猜测，这次公开预警反而可能提醒了攻击者「行踪已暴露」，促使其加速转移资金，该说法同样未经证实。
10 月 9 日：资金开始移动，真相浮出水面
约 14:00 链上出现异常：单笔 50 万至 240 万美元不等的 USDT 开始密集汇入一个后来被确认为归集点的波场地址。被盗资金随后被追踪至以太坊、波场与比特币三条链上的数百个地址。
20:24 链上研究员 Specter 公布十个归集地址，给出第一个损失估算：超过 8600 万美元。消息迅速引爆行业 —— Techub News 快讯首报「疑似 Ledger 用户钱包遭集中盗取，涉及资产超 8,600 万美元」。
21:32 Ledger 官方首次回应：正在调查东南亚地区通过经销商 CryptoBilis 购机用户的资产损失报告，已要求该经销商暂停全部 Ledger 设备的销售与发货；同时强调自身基础设施未被攻破，并建议过去 90 天内经该渠道购机、尚未激活设备的用户暂停设置。
22:01 Binance 创始人 CZ 发声，判断这是一起「局限于单一经销商的供应链攻击」，呼吁行业协助追踪与冻结资金。同晚，Tether 冻结了涉案地址中的 USDT。
23:37 Karpelès 公布验机结果：他检测的一台购自马来西亚的设备，屏幕下方被植入了一个隐藏模块 —— 可窃取用户助记词，而设备仍能通过 Ledger 官方的真伪校验。「间谍模块」一词自此刷屏。当晚还流传出标志性的受害者个案：一名用户从经销商购机后存入 80 枚 BTC，随即被洗劫一空。
10 月 10 日：停售、上修与悬而未决
08:53 CryptoBilis 宣布暂停马来西亚、印尼、菲律宾三国的全部硬件钱包销售与发货。
当日 链上分析机构 Yfarmx 把损失估算上修至约 9340 万美元、波及 471 个独立地址；此前多家第三方的口径在 7200 万至 9000 万美元之间浮动。Ledger 均未确认。同日，CryptoBilis 三月易主、原股东签署保密协议的企业记录被陆续挖出，「谁买下了这家经销商」成为调查的下一个焦点。
五个仍未回答的问题
1. 损失到底多大？7200 万、8600 万、9340 万 —— 不同链上分析给出的数字持续上修，Ledger 至今未确认受害人数与总额。真实规模可能还要数周才能收敛。
2. 植入发生在哪个环节？若 Karpelès 的验机结论成立，被篡改的设备能通过官方真伪校验，这意味着植入发生在出厂之后、销售之前的流通环节 —— 但具体在仓库、物流还是门店，尚无定论。
3. 易主与攻击是否同一伙人？三月收购、八月完成全部股权集中、十月案发，时间线引人遐想，但「关联」目前只是推测。马来西亚监管与 Ledger 的调查结果是关键。
4. 冻结的资金能追回多少？Tether 已冻结部分 USDT，但 BTC 与 ETH 上的赃款仍在移动。
5. 行业信任如何修复？这是硬件钱包历史上最大规模的供应链攻击。当「官方授权经销商」本身成为攻击面，硬件钱包行业赖以生存的信任链条 —— 厂商、渠道、真伪校验 —— 都需要重新审视。唯一确定的教训朴素而昂贵：硬件钱包，只从官网直购。
注：本文时间线综合 Ledger 官方声明、Mark Karpelès 公开发言、Specter 与 Yfarmx 等链上分析，以及 CoinDesk、Bitcoin.com、ChainCatcher 等公开报道整理；所有损失数字截至发稿均未获 Ledger 确认；设备植入物说法来自个人验机结论，经销商易主与案件的关联未经证实，均已在文中标注。事件仍在进展中，Techub News 将持续更新专题时间线。
