48小时内卷走1384万美元：Arkham表示“资金转移仍在继续”

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

“CryptoBilis”Ledger钱包盗取事件：攻击者仍在转移资金，涉案金额持续攀升

所谓的“CryptoBilis”Ledger硬件钱包盗取事件背后的攻击者并未停止活动。分析公司Arkham Intelligence于2026年10月29日指出，被盗资产分布在1,486个地址中，总价值达9,535万美元，且在过去48小时内已有1,384万美元被转移。对于任何持有硬件钱包的用户而言，这才是今日真正的焦点新闻：尽管该案件已发生三周，但远未结束。

Arkham在X平台（原推特）上发文称：“CryptoBilis Ledger盗取器窃取了9,500万美元，且仍在转移资金。”“Drainer”（清空器/盗取器）是一个技术术语，指攻击者在获取钱包访问权限后立即将其完全掏空的恶意方案。

Arkham统计显示1,486个地址涉及9,535万美元

这一数据是更新后的结果，而非新发现。早在十月中旬，我们关注此案时，焦点集中在8,600万美元的涉案金额及受篡改设备的问题上。此后，Arkham进一步关联了更多地址。根据分析，这些资金流出主要发生在2026年10月7日至10月9日之间。

Ledger官方并未明确确认这一总金额。该公司指出，这些估算来自第三方，且未经其核实。这并非仅仅是形式上的声明，因为不同机构的数据存在显著差异。

Bitquery估算为1.02亿美元，Arkham为9,535万美元

数据公司Bitquery在10月16日发布的一份调查中指出涉案金额约为1.02亿美元。此前的分析结果则在8,600万至9,300万美元之间。出现这种差异的原因在于，每家分析机构都必须自行决定将哪些地址归因于攻击者。如果将一个后来被确认为属于他人的地址计入总数，总额就会偏高。

因此，可靠的结论不是某个单一的具体数字，而是一个范围：根据归属判定和截止日期不同，涉案金额在8,600万至1.02亿美元之间。尽管具体数值有异，但所有分析得出的趋势一致，即金额呈上升趋势。

48小时内转移1,384万美元

对于受影响的用户而言，资金仍在流动这一信息更为关键。被盗资产通常会被分散到多个地址和区块链上，最终流向提供兑换服务的平台，将其转换为其他法币或稳定币。这正是调查人员和稳定币发行商介入的关键节点，也是决定盗窃资金能否追回的核心环节。

目前，Arkham标记的地址中可见的资金为3,044万美元。这部分资金虽然理论上可追踪，但这并不意味着受害者有权直接主张返还，也不代表这笔钱一定会被冻结。

Tether在Tron链上冻结1,000万零10枚USDT

部分资金确实已被锁定。在稳定币发行商Tether于10月9日介入后，1,000万零10枚USDT在Tron区块链上被冻结。“冻结”在此处意味着发行商将相关地址列入黑名单，使得存放在那里的代币无法再被转移。

这种机制仅适用于中心化发行的稳定币，因为存在一个可以干预的发行方。而对于没有发行方的资产（如比特币等），则不存在这样的杠杆。因此，要了解盗窃案中有多少资金可回收，首先必须弄清楚被盗资产以何种形式的价值存在。

植入物在设置期间读取了24位助记词

该案件的技术基础由Ledger的安全部门Donjon披露，这也是本事件区别于普通网络钓鱼攻击的关键原因。受影响的设备中包含了一个额外的组件。它在设备设置期间拦截24位恢复助记词，并通过为此目的配置的eSIM卡，利用移动网络将其发送出去。

恢复助记词（也称为种子短语）是可以重新计算钱包所有密钥的单词序列。谁掌握了它，谁就掌握了资金，无论设备身在何处。在设置过程中读取助记词意味着彻底失去控制权，这也解释了为什么即使设备后续看似正常工作，对用户也无济于事。

为何攻击数周后才被发现？

从拦截到清空之间存在时间差，因为攻击者自行决定何时发动攻击。根据分析，大部分资金流出集中在10月9日的一个51分钟窗口内。在此之前，用户没有任何察觉的迹象：没有可疑更新，没有错误提示，也没有异常交易。

这种集中爆发解释了涉案金额为何能迅速达到三位数（亿美元级别）。攻击者早已掌握助记词，只需触发交易即可。对调查而言，这是一个优势，因为狭窄的时间窗口有助于地址归属；但对用户来说，这是最糟糕的情况，因为在那段时间内几乎不可能做出反应。

Ledger表示安全元件和操作系统未被篡改

Ledger强调了一点，这对所有其他设备都至关重要：该植入物既未修改安全元件（存放密钥的加固芯片），也未更改设备的操作系统，更未干扰交易或签名。公司还声明，目前没有迹象表明其自身基础设施或直接销售渠道受到侵害。

由此得出两个结论：一个是令人安心的，另一个则令人不安。令人安心的是：直接从制造商购买设备的用户不受此途径影响。令人不安的是：硬件钱包的安全性不仅取决于其技术本身，还取决于其在首次开机前经过了多少人之手。为了衡量设备的安全性，可以参考我们的硬件钱包对比指南，其中列出了常见型号及其供应链路线。

Ledger将所有确认案例追溯至一家东南亚零售商

根据Ledger自身的调查，所有确认的盗窃案件均来自通过东南亚零售商CryptoBilis销售的设备。Ledger支持团队于10月10日表示：“Ledger可以确认，一名受影响用户的设备中包含未经授权硬件植入物。”

Ledger表示尚未查明这些组件是如何进入设备的。对此并未对该零售商提出指控；CryptoBilis已在调查期间暂停了Ledger设备的销售和发货。此外，《The Record》报道了植入物的机制以及Ledger安全团队的评估。

MediaMarkt和Saturn暂停销售，CryptoBilis暂停发货

对于德国市场而言，这是具体的接触点。在德国报告一起设备篡改案件后，MediaMarkt和Saturn暂停了Ledger设备的销售，即便当时尚未确定德国案例是否与东南亚系列案件有关联。与此同时，Ledger收紧了对零售商的安全要求，并停止了在多个东南亚市场的授权销售。

在任何实体店购买设备的用户，其法律地位并不比遭遇其他产品缺陷时更糟。被篡改的设备被视为缺陷产品，索赔对象是卖家，而非制造商。

Ledger建议受影响买家采取的措施

厂商的指导方针区分了三种情况：

从CryptoBilis购买设备且尚未设置的：切勿设置，并联系支持团队。
已经设置的：立即将资产转移到新设备上，并使用新的恢复助记词。
已遭受损失的用户：在打开设备之前，应先联系执法部门，因为该组件是关键证据。

最后一点容易被忽视。被拆开的设备对调查的价值大打折扣，而用户自行查看内部结构的诱惑很大。

新加坡警方于10月28日报告另外两起案件

10月28日，新加坡警方报告了两起钱包受损案件，其中可能涉及拦截恢复助记词或私钥的组件。Ledger正在审查除上述案件外的其他报告，其中包括一起在新加坡机场购买设备的案例。目前尚未确认其与已知系列案件有关联。

是否会出现第二条线索尚不清楚。唯一可以肯定的是，三周过去了，案件不仅在报告数量上增加，涉案总额也在增长。

自我托管的终结：合规替代方案

此类案件也支持相反的结论。自我托管要求你控制整个供应链，从制造到设置。任何不愿承担此责任的人可以将托管权移交出去。在欧盟《加密资产市场法规》（MiCA）下，这应由获得授权并承担监管义务的提供商完成。

这种选择是有代价的，其名称为交易对手风险：你用设备的责任换取对公司的信任。没有绝对正确的答案，只有与资金规模及个人谨慎程度相匹配的选择。

行动建议

CryptoBilis Ledger盗取事件：3,044万美元位于已标记地址中

检查购买渠道：确认你的设备是通过何种渠道购买的，并保留收据。如果需要更换，请对比供应链路线，并从制造商或其指定的零售商处购买。
设立新钱包：如有任何疑虑，请使用新的恢复助记词设置一个新钱包，并将资产转移过去。对于过渡期或小金额，可参考软件钱包对比指南选择合适的应用程序。
理性决策：深思熟虑地决定你要自行持有多少资产。超出此部分的可交由授权提供商保管；相关标准请参阅受监管交易所的相关信息。

（截至2026年10月29日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）

My Favorites