硬件钱包"不联网"的安全承诺，在开箱之前就被打破了
10 月 18 日的新披露把这次供应链攻击的影响面推得更远：一台在新加坡樟宜机场购买的 Ledger Flex 钱包中，被发现显示屏连接器经过改装，并搭载了蜂窝通信芯片和 SIM 卡。受污染设备可能已经进入多国正常零售渠道，不再局限于最初锁定的单一经销商。
事件脉络：10 月 9 日开始，约 300 多个钱包在短时间内被清空。第三方链上研究机构的估计区间在 8,000 万–9,320 万美元之间：Bitquery 统计 315 个钱包、约 9,320 万美元；Galaxy Digital 估计约 9,000 万美元；Specter 估计 8,600 万美元；Arkham 估计 8,000 万美元（2026-10-12 CoinDesk 报道引述）。受害者中约 7,000 万美元是 Tron 链上的 USDT，其余分布在 BTC、ETH、BNB、SOL 和 Polygon。
作案手法值得注意：植入件是藏在屏幕背后的小电路板，带独立蜂窝能力。用户在初始化时，屏幕上会显示 24 词助记词——植入件截取这些助记词，经 LTE/eSIM 直接发回攻击者，全程绕开用户的电脑和 WiFi。之后攻击者用这 24 个词在别处重建钱包、转走资金。
10 月 10 日 Ledger 官方确认：至少一台涉事设备含未经授权的硬件植入件；迄今所有确认案例都来自东南亚经销商 CryptoBilis 的渠道（马来西亚、印尼、菲律宾），公司自有系统和直销渠道未受影响。CryptoBilis 已停售所有硬件钱包，其吉隆坡门店暂停营业。
可以观察到的是：被击穿的从来不是安全芯片，而是"信任链"——信任包装盒是原厂的、信任"官方授权经销商"四个字。Ledger 已提醒 CryptoBilis 客户：未初始化的设备不要再开机，已启用的把资金迁到官网直购的新设备和新助记词上。
观点层面：这次事件之后，硬件钱包的开箱验机可能要当成精密仪器验收一样做了。冷钱包"绝对安全"的叙事被重新定价，但定价对象不是硬件本身，是分销渠道的可信度。 $BTC
#硬件钱包 #安全事件 #SupplyChainAttack
（数据来源：CoinDesk 10-12、CryptoBriefing 10-13、Bitquery/Specter/Arkham/Galaxy 研究人员估计、新浪财经 10-18 转述独立研究人员发现。损失数字为第三方估计，Ledger 未公布官方损失金额。仅个人看法，不构成投资建议）
10 月 18 日的新披露把这次供应链攻击的影响面推得更远：一台在新加坡樟宜机场购买的 Ledger Flex 钱包中，被发现显示屏连接器经过改装，并搭载了蜂窝通信芯片和 SIM 卡。受污染设备可能已经进入多国正常零售渠道，不再局限于最初锁定的单一经销商。
事件脉络：10 月 9 日开始，约 300 多个钱包在短时间内被清空。第三方链上研究机构的估计区间在 8,000 万–9,320 万美元之间：Bitquery 统计 315 个钱包、约 9,320 万美元；Galaxy Digital 估计约 9,000 万美元；Specter 估计 8,600 万美元；Arkham 估计 8,000 万美元（2026-10-12 CoinDesk 报道引述）。受害者中约 7,000 万美元是 Tron 链上的 USDT，其余分布在 BTC、ETH、BNB、SOL 和 Polygon。
作案手法值得注意：植入件是藏在屏幕背后的小电路板，带独立蜂窝能力。用户在初始化时，屏幕上会显示 24 词助记词——植入件截取这些助记词，经 LTE/eSIM 直接发回攻击者，全程绕开用户的电脑和 WiFi。之后攻击者用这 24 个词在别处重建钱包、转走资金。
10 月 10 日 Ledger 官方确认：至少一台涉事设备含未经授权的硬件植入件；迄今所有确认案例都来自东南亚经销商 CryptoBilis 的渠道（马来西亚、印尼、菲律宾），公司自有系统和直销渠道未受影响。CryptoBilis 已停售所有硬件钱包，其吉隆坡门店暂停营业。
可以观察到的是：被击穿的从来不是安全芯片，而是"信任链"——信任包装盒是原厂的、信任"官方授权经销商"四个字。Ledger 已提醒 CryptoBilis 客户：未初始化的设备不要再开机，已启用的把资金迁到官网直购的新设备和新助记词上。
观点层面：这次事件之后，硬件钱包的开箱验机可能要当成精密仪器验收一样做了。冷钱包"绝对安全"的叙事被重新定价，但定价对象不是硬件本身，是分销渠道的可信度。 $BTC
#硬件钱包 #安全事件 #SupplyChainAttack
（数据来源：CoinDesk 10-12、CryptoBriefing 10-13、Bitquery/Specter/Arkham/Galaxy 研究人员估计、新浪财经 10-18 转述独立研究人员发现。损失数字为第三方估计，Ledger 未公布官方损失金额。仅个人看法，不构成投资建议）