Ledger被盗事件引发诸多疑问：兰博基尼、保密协议与黑龙江老板的故事

正文：

原创 | Odaily 星球日报（@OdailyChina）

曾被誉为“最安全的数字资产储存方案”的冷钱包，如今也遭遇了安全危机。

在10月9日的晚上，链上侦探Specter发布消息称，已经监测到多个Ledger用户在X与Reddit上报告其钱包被盗的情况。经过追踪相关地址，Specter发现这些地址在以太坊、TRON及比特币等多个主流区块链上收到了来自数百个钱包的资金，损失总额已超过8600万美元。

事件发生后，Ledger官方迅速发布声明，指向了一家名为CryptoBilis的经销商作为调查线索。

Ledger表示，正在调查一起涉及东南亚用户的资产被盗事件，这些用户此前通过CryptoBilis购买了设备。公司已要求该经销商暂停所有销售和发货，并建议在过去90天内通过该渠道购买设备的用户暂勿初始化；已设置的用户则需使用新的助记词创建新的Ledger签名设备，并将资产转移到新钱包中。

前Mt. Gox首席执行官Mark Karpelès提供的线索显得尤为重要。早在10月8日，Karpelès就曾警告市场上有人出售带有隐藏SIM卡的假冒或被篡改的Ledger设备，这些SIM卡能够传输被窃取的助记词。

事件后不久，Karpelès进一步透露，他在马来西亚购买的一台Ledger硬件钱包的外包装完好，但屏幕下方却藏有一个可疑的带SIM卡芯片的模块。

慢雾的首席信息安全官23pds因此推测，攻击者可能通过恶意模块截取设备屏幕上的数据，在用户初始化钱包和查看助记词时记录恢复短语，然后通过LTE或eSIM将信息传输出去。

这种攻击方式的危险在于，它可能绕过用户对硬件钱包安全性的常规认知。尽管硬件钱包的安全元件可以保护私钥不被直接读取，但并不一定能防止外部硬件截取屏幕信息。换句话说，即使核心安全元件没有遭到攻破，设备若被篡改，助记词仍可能泄露。

不过，目前关于该攻击机制的解释仍属于技术推测，这一安全事件的具体原因尚需进一步验证。有观点认为，攻击者之所以选择在此时行动，正是由于Karpelès的警告在逐渐传播，担心行动已暴露，因此提前处理资金。

若这一攻击路径得到证实，这起事件就不仅仅是某款钱包的安全问题，而是更深层的风险：当用户无法确认手中硬件的可信度时，自托管的安全性又能有多高？

随着调查的深入，CryptoBilis的背景也逐渐浮出水面。

CryptoBilis是一家位于马来西亚八打灵再也的Web3电商及自托管工具销售商，产品包括硬件钱包等。公开资料显示，该公司由Arravind Prabu和Vimal Selvamany共同创立，前者担任CEO，后者担任CTO。

事件引发关注后，Arravind Prabu迅速在X上澄清，称有关其仍在运营CryptoBilis的说法并不准确。公司早在今年3月就已被收购，原管理团队已退出所有运营、管理及系统权限。他建议外界联系现任负责人Nicholas Chang（nicholas@cryptobilis.com）。

社区用户接着询问，既然公司已易主，为什么之前没有公开公告，甚至最近的动态还在展示兰博基尼……Arravind Prabu对此回应称，该动态是新管理团队发布的，原团队因合同中的保密条款，必须等到10月19日才能公开交易，且目前已无法访问公司的账号、后台及运营系统。

原管理层退出运营是前CEO的公开说法；至于交接后公司内部究竟发生了什么，目前仍缺乏独立核实的信息。

另一条备受关注的线索涉及公司股权。Bitcoin News在事件发生后披露，股权转移记录显示，名为JIAMING、登记地址位于黑龙江省的个人，自8月3日起已持有CryptoBilis的100%股份。

这意味着，至少从公开信息来看，CryptoBilis在疑似供应链攻击发生前数月确实已易主。然而，股权变更的具体交易安排、新管理层的实际运营情况，以及新股东是否与涉案设备有关，目前并没有确凿证据。不能仅凭新股东的登记地址或收购时间就将其与盗窃事件直接联系。

在调查过程中，CryptoBilis已通过官方X账户宣布暂停马来西亚、菲律宾及印度尼西亚所有门店和线上渠道的硬件钱包销售及发货，实体门店暂时关闭。该公司表示，此举旨在配合Ledger的安全事件调查，并接受独立专家对内部流程的审查；尚未交付的订单将由客服主动联系处理，预计在三个工作日内发布进一步进展。

截至发文时，事件最关键的疑问仍未解开——设备究竟在哪个环节遭到篡改，原有供应链是否被利用，以及现任管理团队能否提供足够的记录以还原交付过程——这些问题仍需等待后续调查和披露给出答案。

根据目前的链上追踪情况，此次事件的损失不仅规模惊人，资金流向也显现出不同特征。

Galaxy研究主管Alex Thorn分析指出，与Ledger和CryptoBilis供应链事件相关的比特币损失目前为213.42枚，按当时价格计算约合1770万美元。其中，约92%的比特币在被归集时持有时间不足90天。当前追踪到的相关BTC仍未花费，集中存放于三个归集地址。

个体受害者的损失则更加触目惊心。Lookonchain监测显示，一名地址标记为TY24Ya的用户在三周前购买了相关Ledger设备，随后向钱包存入700万枚USDT，但这笔资金在约10小时内被全部转走；另有一名用户在四个月前以约520万美元买入80枚BTC，期间一度浮盈约138万美元，却在一周前从CryptoBilis购买Ledger设备后，将全部BTC转入该设备，最终遭遇全额损失。

事件发生后不久，攻击者便迅速开始了洗钱与混币流程。

链上分析机构Onchain Lens追踪到，疑似攻击者已通过四个钱包向Tornado Cash存入430.2枚ETH，价值约107万美元，试图切断以太坊链上的溯源链路。

与此同时，业界也开始对攻击者的赃款进行“围堵”。Tether目前已冻结了与此次事件相关的部分USDT，但黑客的应对同样狡猾而专业，在Tether出手后已迅速利用波场生态的SUN.io与USDD PSM机制，将未被冻结的USDT闪电兑换为抗审查性更强的去中心化稳定币USDD，部分转账还涉及币安热钱包（可能成为后续辨识黑客身份的线索）。

如今，追赃的关键在于能否及时识别并拦截仍留在中心化平台或可冻结稳定币地址中的资金，而已经进入混币协议、跨链流转或其他复杂路径的资产，追踪和追回的难度可能进一步上升。

截至目前，Ledger尚未公布完整的资金追回方案，也未披露受害者赔偿安排。随着调查推进，资产是否能够追回、责任由谁承担，仍需进一步确认。

长期以来，冷钱包被视为加密资产自托管最可靠的方案之一，而Ledger在这一市场中更是最具代表性的品牌。与交易所托管相比，用户自己保管私钥，原本是为了减少对第三方的依赖。但此次事件引发了一个令人不安的问题——如果用户购买的设备在交付前就遭到实体篡改，即使包装完好、核心安全元件没有被攻破，资产

来源：Odaily星球日报