重要 Galaxy 研报：Ledger 钱包在经销商环节被植入窃密芯片，比特币“最稳”的一角本季接连失守

据深潮 TechFlow发布，作者：Alex Thorn（Galaxy Research 负责人） 编译：深潮 TechFlow 深潮导读： 在刚刚过去的 2026 年第三季度及第四季度初，向来以安全、保守著称的比特币原生基础设施阵营接连遭遇毁灭性打击。从 Coldcard 固件伪随机数漏洞导致 1830+ BTC 被盗，到 Liquid 侧链跨链桥被凭空铸造 3998 枚虚假 L-BTC 提走 $3.2 亿，再到 Bitget 因第三方安全供应商失守损失 $3.875 亿。而压垮自托管防线的最新惊天黑天鹅，则是硬件钱包龙头 Ledger 东南亚官方授权经销商 CryptoBilis 爆出的硬件投毒事件：黑客在设备内部植入独立窃密柔性电路板，直接读取屏幕上显示的 24 个助记词并通过预置 eSIM LTE 网络静默回传，完美绕过了 Ledger 的 Secure Element 安全芯片及官方真伪验证。474 个冷钱包地址在 1 小时内被洗劫逾 $9100 万。Galaxy Research 负责人 Alex Thorn 撰写重磅研报，深度复盘了这起供应链投毒攻击，并警示在 AI 时代，针对硬件供应链与代码边界的攻击正呈指数级演变。 事件脉络：官方授权经销商投毒，恶意芯片偷窥助记词硬件钱包巨头 Ledger 正在紧急调查一起波及东南亚用户的特大资产失窃案。受害者均通过 CryptoBilis 购买了 Ledger 设备，而 CryptoBilis 此前长期被 Ledger 官方网站列为印度尼西亚、马来西亚和菲律宾的官方授权经销商。 10 月 9 日周五，Ledger 首次公开披露已要求该经销商暂停所有设备销售和发货，并紧急敦促过去 90 天内从该渠道购买设备的任何用户切勿激活设备；若已激活，必须立即将资金转移至使用全新助记词初始化的新安全设备中。次日，Ledger 正式证实“其中一名受害用户的设备内部包含未经授权的硬件植入物”。随后在周二，Ledger 进一步揭示了该恶意硬件的攻击原理：外壳内部被植入了一个完全独立的间谍组件，它在用户开机初始化设置时直接抓取屏幕上显示的 24 个英文助记词，并通过预先配置好通信协议的 eSIM 芯片利用蜂窝网络（LTE）静默回传给黑客！ 极为阴险的是，该植入物完全没有触碰设备内部的核心安全芯片（Secure Element）和 Ledger 自研操作系统。正因如此，当被篡改的受害设备连接官方客户端时，依然能完美通过 Ledger 官方的 Genuine Check 真伪安全检测！独立硬件拆解团队发现，这种间谍植入物至少已经迭代了三代，最新一代甚至采用了隐藏在屏幕下方的专业定制柔性电路板（Flex Circuit）。Ledger 强调其官方直销渠道与自身内部系统未受入侵，且所有已确认案例均指向已暂停所有硬件销售的 CryptoBilis。 链上数据复盘：474 个地址遭集中收割，$9100 万巨资瞬间蒸发在区块链浏览器上观察，这起盗窃案绝非零星个案，而是一场经过周密策划与长期潜伏后的“大收割”。 据 Galaxy Research 统计，共有 474 个受害者地址被彻底掏空，横跨比特币、以太坊、Arbitrum、Polygon 和波场（TRON）网络，被盗资金下限高达约 $9100 万：其中波场网络损失最为惨重，146 个 TRON 地址被掠走价值约 $6450 万的 USDT 与 TRX；279 个比特币地址被洗劫 213 枚 BTC（当时价值约 $1760 万）；另有 49 个以太坊系地址损失了价值 $880 万的 ETH 与稳定币。若。