CryptoBilis 最新进展：Ledger 确认为局部流通环节攻击

Ledger 已进一步披露 CryptoBilis 事件的调查结果：涉案设备原本是正品，但在离开 Ledger 管控后被拆开、加装隐藏硬件，再经东南亚的经销环节重新流入市场。Ledger 将其定性为一次范围有限的流通环节攻击，并强调 Secure Element、操作系统、服务器及服务并未遭到入侵。

Ledger 目前确认了什么

Ledger 表示，一个有组织的犯罪团伙在数月内购入正品设备，将其拆开并安装隐藏电子组件，随后通过东南亚经销商重新投入流通。该团伙还建立了接收数据的服务器，以及转移和清洗被盗资产的配套设施。

这一区别非常关键：问题不在于市场上出现了普通仿冒品，而在于正品离开制造商后被二次改造。因此，本案的核心是产品流通与保管链条，而不是所有 Ledger 设备都存在同一漏洞。

事件如何定性

Ledger 将其称为 localized distribution attack，即局部流通环节攻击。现有证据并不指向 Ledger 产品或服务的系统性失陷。

隐藏组件想要获取什么

根据 Ledger 的说明，植入组件被设计用于在设备初始化过程中收集恢复词。恢复词控制整个钱包；一旦泄露，攻击者无需持有原设备，也可以在其他设备上恢复钱包并转走资产。

Ledger Donjon 已对植入物进行分析，但完整技术报告尚未公开。Ledger 表示，将在不影响调查的前提下披露更多信息。在此之前，关于具体电路、受影响序列号或改装设备总量的说法，都应以 Ledger 或调查机构正式发布的资料为准。

真正需要重新建立的是密钥，而不只是更换硬件。 如果原恢复词可能已经泄露，将它导入新设备并不能消除风险。正确做法是生成一套全新的恢复词，并把资产转到新地址。

哪些部分没有遭到入侵

Ledger 表示，此次事件不是 Secure Element、操作系统或后台系统的漏洞，服务器与服务也没有被攻破。攻击发生在正品离开 Ledger 管控之后、到达最终用户之前，犯罪团伙在这一阶段加入了未经授权的硬件。

问题	目前确认的信息
涉案设备是正品吗？	是。Ledger 表示这些设备后来被拆开并改装。
Ledger 芯片或操作系统被攻破了吗？	Ledger 表示没有。
Ledger 服务器被入侵了吗？	Ledger 表示没有。
这是全球性问题吗？	Ledger 将其描述为与东南亚流通渠道有关的局部事件。
完整技术报告发布了吗？	尚未发布，待调查条件允许后会提供更多细节。

Ledger 做了哪些排查

Ledger 表示，公司已与执法部门和安全社区合作，分析回收的植入物并筛查库存。团队还在包括德国在内的多个市场购买设备进行拆检，同时检查仓库样品；上述已检查设备均被确认没有异常。

调查期间，Ledger 要求东南亚和香港的授权经销商及分销商暂停销售。Ledger 公布的结果显示，其筛查的库存没有发现被改装设备。不过，直接从 CryptoBilis 购买设备的用户仍应遵循 Ledger 的专项指引。

授权经销网络的新规则

客户退回的设备不得再次销售，即使外观看起来未拆封、未使用。
产品不应继续放在开放货架或作为展示机使用。
库存应保存在受控的后场区域，成交时再交付给客户。
发现包装异常、设备行为异常或收到可疑报告时，应立即上报。

Ledger 还表示正在开发更多产品级防篡改措施，具体方案尚未公开。

用户现在应该怎么做

如果设备购自 CryptoBilis

尚未初始化：不要开始设置，并通过官方网站联系 Ledger Support。
已经初始化并存入资产：按 Ledger 指引，将资产转到可信新设备生成的新钱包；必须使用全新的恢复词。
不要自行把设备寄给任何人，先通过官方支持渠道确认后续流程。
妥善保留设备、包装、收据、照片和交易记录。

如果设备购自其他渠道

确认卖家身份并保留购买凭证。
初始化前检查包装、封装、外壳接缝、USB 接口和配件。
只从 Ledger 官网或经过验证的应用商店下载官方应用。
转入资产前完成 Genuine Check。
亲自在设备上设置 PIN 并生成恢复词；绝不要使用包装内预先写好的词组。
先做小额测试，并在硬件屏幕上核对完整地址。

SIAMBC 泰国客户需要了解什么

目前没有证据显示 SIAMBC 所售设备与已确认的 CryptoBilis 事件有关

SIAMBC 不从 CryptoBilis 采购 Ledger 产品。SIAMBC 销售的 Ledger 设备来自官方渠道；到货后存放于上锁、限制人员进入的区域，库存流转留有记录，产品在履约前保持密封。

SIAMBC 也在继续核查上游分销商的存储与访问控制，以进一步确认产品保管链。这属于预防性核验，并不代表 SIAMBC 库存已经受到影响。

无论从哪里购买，新设备都不应预设 PIN，也不应附带已经填写好的恢复词，更不会要求用户把恢复词输入网页、电脑或客服表单。遇到上述情况应立即停止使用并联系官方支持。

Ledger 与 SIAMBC 都不会索取恢复词、PIN 或私钥。任何提出此类要求的人都应视为诈骗者。

常见问题

这能否理解为 Ledger 被黑了？

最新声明并非芯片、操作系统或服务器遭入侵，而是正品离开 Ledger 后被改装，再经局部经销环节重新流通。

通过 Genuine Check 就足够了吗？

它是重要的密码学验证，但还应配合可信购买渠道、外观检查和由本人完成的全新初始化。CryptoBilis 事件说明，安全不能只依赖单一检查。

东南亚所有 Ledger 都受影响吗？

没有证据支持这一说法。Ledger 表示已筛查库存及抽检设备均未发现异常，已确认事件仍集中在 CryptoBilis 调查范围内。

换新设备后可以继续使用旧恢复词吗？

如果旧恢复词存在暴露可能，就不应继续使用。应在可信设备上创建新恢复词，再将资产转往新地址。

结语

最新调查让攻击路径更加清晰：犯罪团伙在正品离开 Ledger 管控后进行改装，并试图在初始化时窃取恢复词。这是严重的流通安全事件，但不能等同于每一台 Ledger 都存在漏洞。对用户而言，最有效的做法是依据已确认信息行动、核实购买来源，并把开箱与首次设置纳入完整安全流程。

资料来源

作者：Bank · 更新于 2026 年 10 月 16 日。本文依据发布时可获得的信息整理；如 Ledger 或调查机构公布新结果，内容可能随之更新。

Ledger 设备暂停销售通知