Ledger被盗事件：兰博基尼、保密协议与黑龙江商人的复杂关联

正文：

原创 | Odaily 星球日报（@OdailyChina）

原本被认为“最安全的数字货币存储方案”的冷钱包，如今却暴露出安全隐患。

在10月9日晚，链上侦探Specter发布消息称，发现了多起Ledger用户钱包被盗的报告，相关信息在X和Reddit上逐渐浮现。经过追踪，Specter发现多个主流区块链（如以太坊、TRON和比特币）的数百个钱包收到了来自攻击者的资金，损失总额超过8600万美元。

在事件发生后，Ledger官方立即发表声明，表示正在调查与名为CryptoBilis的经销商相关的盗窃事件。

Ledger指出，该事件涉及东南亚的一些用户，这些用户在此前通过CryptoBilis购买了设备。公司已要求该经销商暂停所有销售和发货，并建议过去90天内通过该渠道购买设备的用户暂时不要进行初始化；已完成设置的用户则应使用新的助记词创建新的Ledger签名设备，并将资产转移至新钱包。

前Mt. Gox CEO Mark Karpelès在10月8日已对市场上出现的带有隐藏SIM卡的假冒或篡改Ledger设备发出警告，这些设备能够传输被盗助记词。

事件发生后，Karpelès进一步披露，他从马来西亚购买的一台Ledger硬件钱包虽然外包装完好，但其屏幕衬垫下却藏有一个可疑的SIM卡模块。

慢雾首席信息安全官23pds对此推测，攻击者可能通过恶意模块截取设备屏幕信息，在用户初始化钱包或查看助记词时记录恢复短语，并通过LTE或eSIM将信息传送出去。

此类攻击的隐患在于，它可能绕过用户对硬件钱包安全性的传统认知。虽然硬件钱包的安全组件能够保护私钥，避免被直接读取，但并不一定能阻止外部硬件截取屏幕信息。换句话说，即使核心安全元件未被攻破，设备的物理篡改仍可能导致助记词泄露。

不过，关于该攻击机制的具体细节仍需进一步验证。有观点认为，攻击者选择在此时行动，是因为Karpelès的警告正在传播，攻击者可能担心其行为已暴露，因而开始转移资金。

如果这一攻击方式最终被证实，那么此次事件所暴露的就不仅是某款钱包的安全问题，而是一个更深层的风险：当用户无法确认其手中硬件的可信度时，自托管究竟有多安全？

随着调查的深入，CryptoBilis的背景也逐渐显露。

CryptoBilis是一家位于马来西亚八打灵再也的Web3电商和自托管工具销售商，主营硬件钱包等产品。公开资料显示，该公司由Arravind Prabu和Vimal Selvamany共同创立，前者担任CEO，后者担任CTO。

然而，在事件引发关注后，Arravind Prabu迅速在X上澄清，称外界关于其仍在运营CryptoBilis的说法并不准确。公司早在今年3月就已被收购，原管理团队已退出所有运营、管理及系统权限。对于当前事件，他建议外界联系现任负责人Nicholas Chang（nicholas@cryptobilis.com）。

社区用户随即追问，既然公司已经易主，为什么之前没有公开宣布？而且该账号最近一条动态仍在展示兰博基尼……Arravind Prabu对此回应称，该动态由新管理团队发布，原团队因合同中的保密条款，必须等到10月19日才能公开宣布交易，且目前已无法访问公司的账号、后台及运营系统。

原管理层退出运营的说法是前CEO的公开声明；至于交接后公司内部究竟发生了什么，当前仍缺乏独立核实的信息。

另一条引人关注的线索是公司股权的变动。Bitcoin News在事件发生后披露，相关股权转移记录显示，一名登记在中国黑龙江省的个人名为JIAMING，自8月3日起便已持有CryptoBilis的100%股份。

这表明，从公开信息来看，CryptoBilis确实在疑似供应链攻击发生前数月进行了易主。然而，股权变更的具体交易细节、新管理层的实际运营情况，以及新股东是否与涉案设备相关，目前都缺乏确凿证据，不能仅以新股东的登记地址或收购时间直接关联到盗窃事件。

在调查过程中，CryptoBilis已通过官方X账户宣布暂停在马来西亚、菲律宾及印度尼西亚所有门店和线上渠道的硬件钱包销售及发货，实体门店暂时关闭。该公司表示，此举旨在配合Ledger的安全事件调查，并接受独立专家对内部流程的审查；尚未交付的订单将由客服主动联系处理，后续进展预计在三个工作日内公布。

截至发文时，事件的核心疑问仍未解答——设备究竟在哪个环节遭到篡改，原有供应链是否被利用，以及现任管理团队是否能提供足够的记录来还原交付过程——这些问题仍需等待后续调查和披露。

从当前链上追踪情况来看，此次事件的损失不仅规模巨大，资金流向也呈现出不同的特征。

Galaxy研究主管Alex Thorn分析称，与Ledger及CryptoBilis供应链事件相关的比特币损失暂时为213.42枚，按当时价格计算约为1770万美元。其中，约92%的比特币在被集中时持有时间不足90天。当前追踪到的相关BTC仍未被花费，集中存放于三个归集地址。

个体受害者的损失更为惨重。Lookonchain监测到，一名标记为TY24Ya的用户在三周前购买了相关Ledger设备，随后向钱包存入700万枚USDT，但这笔资金在约10小时内被全部转走；另一名用户在四个月前以约520万美元买入80枚BTC，期间一度浮盈约138万美元，却在一周前从CryptoBilis购买Ledger设备后，将全部BTC转入该设备，最终遭遇全额损失。

事件后不久，攻击者迅速开始了洗钱与混币流程。

链上分析机构Onchain Lens追踪发现，疑似攻击者已通过四个钱包向Tornado Cash存入430.2枚ETH，价值约107万美元，试图切断以太坊链上的溯源链路。

与此同时，业界也开始对攻击者的赃款进行“围堵”。Tether目前已冻结了与此次事件相关的部分USDT，但黑客的应对同样狡猾而专业，在Tether出手后，已迅速利用波场生态的SUN.io与USDD PSM机制，将未被冻结的USDT闪电兑换为抗审查性更强的去中心化稳定币USDD，部分转账还涉及币安热钱包（这可能成为后续辨识黑客身份的线索）。

目前，追赃的关键在于能否及时识别并拦截仍留在中心化平台或可冻结稳定币地址中的资金，而已经进入混币协议、跨链流转或其他复杂路径的资产，追踪和追回的难度可能进一步加大。

截至目前，Ledger尚未公布完整的资金追回方案，也未透露受害者的赔偿安排。随着调查的推进，资产能否追回、责任由谁承担，仍待进一步确认。

长期以来，冷钱包一直被视为加密资产自托管中最为可靠的方案之一，Ledger更是该市场中的知名品牌。与交易所托管相比，用户自己保管私钥原本是为了降低对第三方的依赖。然而，此次事件提出了一个令人不安的问题——如果用户购买的设备在交付前就遭到实体篡改，即使外包装完好、核心安全元件未被攻破，资产仍可能面临风险。

当然，当前事件的具体攻击路径尚未得到最终确认，也不能由此

来源：Odaily星球日报