Ledger 要求东南亚及香港经销商停售硬件钱包，植入调查扩大至整条分销链

硬件钱包厂商 Ledger 在 2026 年 10 月 13 日的官方公告中，要求东南亚六个国家及香港的经销商和分销商暂停销售其设备，并将产品从货架撤下。这是该公司自硬件钱包被植入恶意硬件、导致用户加密资产被盗的调查公开以来，第二次扩大停售范围，也意味着问题焦点正从单一经销商转向整条区域分销链。

Ledger 在 X 平台发布的"事件更新"中明确列出了停售覆盖的市场：印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚以及香港。公司同时强调，随着调查继续，目前经确认的事件仍集中在东南亚地区，尚未核实任何与在其他地区购买的设备相关的资金被盗案例。

事件的时间线显示事态正在快速升级。10 月 9 日，调查首次进入公众视野，起因是用户报告通过东南亚经销商 CryptoBilis 购买的设备关联加密资产被盗；10 月 10 日，Ledger 仅要求 CryptoBilis 暂停销售和发货；10 月 11 日，Ledger 确认至少一台受影响设备含有未经授权的硬件植入，并指出损失可能超过 8600 万美元；到 10 月 13 日，停售要求已扩展至整个区域的七个市场。从单一经销商到区域分销网络，Ledger 的应对半径在四天内扩大了数倍。

Ledger 在公告中表示："调查正在进行中，以确定是谁篡改了这些设备，以及篡改发生在分销链的哪个环节。"公司同时称，目前没有迹象表明 Ledger 的基础设施、系统、服务或直销渠道遭到入侵。换言之，风险被限定在第三方分销环节，而非产品本身的设计或公司的云端服务。这一判断也决定了停售措施的边界：直销渠道继续运营，而区域分销体系被按下暂停键。

植入物如何绕过"冷"钱包的安全假设

Ledger 安全研究团队 Donjon 在 10 月 13 日的技术说明中披露了植入物的工作原理：恶意硬件使用微控制器解码设备初始化设置时屏幕上显示的 24 词助记词，并通过内置的 eSIM 卡经 LTE 蜂窝网络将数据外传。

这一机制的关键在于攻击时点的选择。硬件钱包的安全模型建立在"私钥永不出设备"之上，但助记词在用户首次设置时会以明文形式显示在屏幕上供抄写。植入物正是在这个环节介入，绕过安全芯片和交易签名流程，直接获取能够完全控制钱包的最高权限凭证。一旦助记词泄露，攻击者可以在任何设备上恢复钱包并转走资产，而用户侧的链上交易记录看起来完全正常，这增加了事后追溯和冻结的难度。

Ledger 明确表示，植入物没有破坏设备的安全芯片，也没有改变交易内容。这一技术定性把问题从"产品固件漏洞"重新定位为"分销链物理篡改"，也解释了为什么 Ledger 的直销渠道和基础设施未被列为风险源。对用户而言，这意味着从非直销渠道购买的设备，其物理完整性本身已成为需要验证的安全前提——冷钱包不再是出厂即可信的黑盒。

损失规模方面，区块链调查员 Specter 在 X 上估算，已有数百个钱包受影响，损失可能超过 8600 万美元，涉及比特币、以太坊和 TRON 网络。网络安全媒体 Yfarmx 随后将估算上调至 1.03 亿美元。Ledger 方面尚未确认具体损失总额，第三方估算与官方确认之间的差距本身也反映了调查仍在进行中，最终数字可能随更多受害钱包被识别而继续变化。

欧洲也出现疑似案例，分销链信任受冲击

尽管 Ledger 强调已确认事件集中在东南亚，但同一周欧洲也出现了疑似植入报告，让问题的边界变得模糊。X 用户 Johannes 发布照片称，其在欧洲消费电子连锁商 MediaMarkt 两家不同门店购买的 Ledger 设备中均发现植入物。受此影响，MediaMarkt 已下架 Ledger 产品。Ledger 尚未确认欧洲案例与 CryptoBilis 事件存在关联。

这一发展带来两种可能：如果欧洲案例最终被证实与东南亚事件同源，意味着篡改可能发生在更上游的环节，停售范围可能进一步扩大；如果属于独立事件，则说明硬件钱包的分销链安全可能面临多点威胁，任何区域的任何零售节点都可能成为攻击入口。无论哪种情形，对 Ledger 而言都意味着调查复杂度和公关成本的双重上升。

经销商层面的连锁反应已经开始。CryptoBilis 在 10 月 11 日宣布暂停马来西亚、菲律宾和印尼所有硬件钱包品牌（不限于 Ledger）的销售和发货，临时关闭实体店，并表示正在与独立专家一起审查自身流程。此前该公司是 Ledger 在印尼、马来西亚和菲律宾列名的授权经销商，此次从"被暂停的 Ledger 产品线"扩大到"全品牌停售"，显示其自身也面临巨大的信任重建压力。对一家区域经销商而言，停售期间的库存积压、现金流压力和客户流失，都是实实在在的经营风险。

竞争品牌也在同步收缩渠道。Trezor 宣布减少经销商数量，作为应对硬件钱包篡改报告的"预防性措施"；OneKey 同样切断了与 CryptoBilis 的合作关系。这些动作表明，硬件钱包行业对分销体系的信任正在被重新评估。在安全事件面前，收缩渠道是短期最稳妥的止损方式，但也意味着厂商需要在销售覆盖和风险控制之间重新寻找平衡。

Ledger 在公告中称，公司已累计售出超过 800 万台硬件钱包。对这样体量的设备存量而言，即使被篡改设备只占极小比例，重建用户对"开箱即用"的信任也需要透明的调查结论和可执行的核验流程。冷钱包长期被视为加密自托管的最后防线，而此次事件显示，供应链和分销链的物理安全可能比固件安全更脆弱——攻击者不需要攻破密码学，只需要在物流环节替换一个元件。这也提出了一个更深层的问题：当设备本身可能成为攻击载体时，厂商能为渠道安全承担多大责任。

用户该如何应对，后续看什么

Ledger 建议怀疑设备被篡改的用户通过官方支持渠道联系公司并提交警方报告。对于从其他渠道购买设备的用户，Ledger 提供了检查指南，同时警告自行拆机可能损坏设备，建议用户在操作前先备份助记词。

需要警惕的是，安全事件之后往往伴随二次诈骗。用户应只通过 Ledger 官方渠道获取支持，避免相信任何以"理赔""税费""保证金"为名要求额外转账的请求。在调查结论出炉前，最稳妥的做法是从官方直销渠道购买设备，并在设置前仔细核对设备包装、封条和机身是否存在异常；对已持有设备的用户，若从未设置过且来源可疑，应优先通过官方指南核验而非直接导入资产。

后续观察点主要有三个。第一，Ledger Donjon 对回收设备的分析结论，尤其是篡改发生在分销链的具体环节，这将决定责任归属和整改方向——是单一经销商内部问题，还是更上游的物流或仓储环节被渗透。第二，欧洲及其他地区报告是否被确认与东南亚事件同源，这将决定停售范围会否继续扩大。第三，最终损失规模的确认，目前 8600 万美元和 1.03 亿美元均为第三方估算，尚未得到 Ledger 官方确认。

对行业而言，这次事件的长期影响可能超过单次损失金额。当冷钱包的物理完整性无法被普通用户验证时，硬件钱包的安全叙事需要从"设备可信"转向"渠道可信"。经销商资质审核、设备序列号追踪、防拆封条和开箱核验机制，可能成为下一轮产品与渠道竞争的关键变量。对用户来说，"从哪里买"的重要性，正在逼近"买什么"。