480万美元。一个专搞假招聘诈骗的骗子，被篡改过的Ledger硬件钱包偷走了这笔比特币。Chainalysis在10月16日把这事捅了出来。

骗子也被骗，听着像段子。但翻完数据我笑不出来。这个诈骗犯靠“任务诈骗”骗人——先让人假装刷单、写好评，再要求交押金才发工资。他收上来的钱，最后存进了自己以为安全的硬件钱包。

结果钱包在供应链环节就被人动了手脚。里面被塞进一颗间谍芯片，私钥在生成那一刻就已经泄露。攻击者不需要钓鱼邮件，不需要假网站，等币进来直接转走就行。

Ledger前CEO Mark Karpelès在10月16日说了句话，挺重。他说Ledger在最新这轮安全危机爆发前几个月，就被人告知过硬件钱包可能被篡改的风险。

告知了，然后呢？Karpelès的原话是“值得采取更多行动”。这话说得客气。翻译一下：警告收到了，事没做。

供应链攻击最麻烦的地方就在这。你防钓鱼、防木马、把助记词抄在铁板上埋后院，全都没用。设备从出厂到你手里的任何一个环节，只要有人碰过，它就可能是颗雷。

这次中招的是个诈骗犯。下次呢？

Chainalysis把这名诈骗犯列为 compromised hardware wallets 的最大受害者之一。注意“之一”。说明还有其他受害者，只是金额没这么大。

这些人里有多少是普通用户，有多少是像他一样黑吃黑翻车的，数据没给。我猜后者比例不低。

硬件钱包的卖点是“自托管”，自己掌管私钥。但当设备本身不可信时，自托管就成了自欺欺人。你攥着的私钥，攻击者手里也有一份。

Ledger到现在没公布受影响设备的批次和流通渠道。用户只能自己猜：我手里这台，是不是从授权经销商买的？运输途中被拆过没有？

Karpelès的质疑指向一个更尴尬的事实：这家公司早就知道风险存在。知道风险而不动作，和不知道风险，性质不一样。前者是选择，后者是疏忽。

我翻了下时间线。警告在危机前几个月就到了。几个月，够换一批包装、加一道防拆封条、发一轮用户提醒。什么都没发生。

现在Chainalysis把案例公开了，480万美元的教训摆在这。Ledger接下来会不会公布完整的受影响设备清单，我赌两周内没有。

如果11月前还等不到这份清单，那所有二手渠道流通的Ledger设备，都该默认按已被污染处理。