Ledger 經銷商 CryptoBilis 設備遭植入惡意硬體：9,000 萬美元被盜的數字背後，哪些已證實、哪些仍是推測？

2026 年 10 月 9 日，Ledger 表示正在調查東南亞經銷商 CryptoBilis 客戶的資金損失，並要求該經銷商暫停銷售與出貨。10 月 10 日，Ledger Support 確認受影響用戶的裝置內有未授權的硬體植入物。10 月 13 日，Ledger 公布旗下安全研究團隊 Donjon 的分析，指出植入物能在初始設置時讀取螢幕顯示的 24 字助記詞，再經 eSIM 與 LTE 傳出。

這起事件不是單一漏洞，也不是交易所被駭。它同時涉及供應鏈、經銷商管控、第三方鏈上估算與穩定幣凍結，各層證據的強度差異很大。

目前已確認的是：Ledger 在至少一台相關裝置中發現未經授權的硬體植入物，且本次事件所有已確認的資金損失案例都涉及 CryptoBilis 渠道售出的裝置。但受影響裝置總數、實際損失金額，以及其他渠道是否存在相關問題，仍有待進一步調查。

本文資料截點：2026 年 10 月 13 日（台灣時間下午）。 以下將資訊分為官方確認的事實、第三方鏈上估算，以及尚未獲獨立證實的個別主張。

一、事件時間軸：從資金損失到植入物確認

• 10 月 9 日：Ledger 展開調查。 Ledger 表示正在調查 CryptoBilis 客戶的資金損失。鏈上調查者 Specter 初步估計，疑似被盜資產超過 8,600 萬美元；其他追蹤團隊提出了不同估算。

• 10 月 10 日：確認硬體植入物。 Ledger 表示，至少一台與事件相關的裝置內發現未經授權的硬體植入物。CryptoBilis 隨後暫停馬來西亞、菲律賓、印尼相關產品的銷售與出貨。

• 10 月 11 日：Ledger 更新調查進度。 Ledger 表示，截至當時所有已確認的資金損失案例都涉及 CryptoBilis 渠道，並稱受影響裝置數量有限，自家系統與直營渠道沒有受到影響的跡象。

• 10 月 12 日：第三方提出更高損失估算。 不同鏈上追蹤團隊公布了受影響地址與資產估算，但這些數字尚未獲 Ledger 全面確認。

• 10 月 13 日：公布技術分析。 Ledger Donjon 說明植入物如何讀取助記詞並透過行動網路傳出。同日，其他硬體錢包廠商也開始調整與 CryptoBilis 的經銷合作。

這條時間軸呈現了事件從資金異常、硬體檢查到技術分析的發展過程。不過，官方確認植入物存在，並不代表所有被第三方追蹤的資金損失，都已逐一與這類植入物建立直接關聯。

二、已證實的部分：植入物確實存在，手法並不複雜

先說結論：Ledger 確認的是 CryptoBilis 渠道售出的裝置被植入硬體，而且所有已確認案例都出自這個渠道；它沒有確認的是總共有多少台、損失多少錢，也不是所有 Nano X 都有問題。

根據 PANews 與 BlockBeats 整理的 Donjon 分析，植入物的運作方式可以拆成四步：

植入物位於外殼內 → 讀取傳往螢幕的資料 → 初始設置時截取 24 字助記詞 → 經 eSIM 與 LTE 外傳。

它不改動安全晶片、系統或交易簽名。換句話說，裝置本身的簽名流程看起來一切正常，問題出在使用者「看到助記詞的那一刻」，資料已經被旁路讀走。

這也是使用者很難察覺的原因。這不代表硬體錢包的安全晶片被破解，但等於提醒我們：安全晶片只保護它自己負責的範圍，無法保證外殼裡沒有多出的東西。

另外，Ledger 的 72 小時更新要求授權經銷商與分銷商不得重新上架退貨品。這暗示 Ledger 擔心被改裝的裝置會透過退貨流程回到通路。不過這是依其要求所做的推論，Ledger 並未說明具體案例。

三、被盜金額：五個版本，沒有一個經過Ledger證實

目前最容易被誤讀的資訊，是網路上流傳的被盜金額。

Ledger 尚未公布最終損失總額，也未確認受影響用戶的完整數量。以下數字均來自第三方鏈上追蹤或媒體轉述，應視為估算，而不是官方確認的損失。

估算來源	金額與範圍	資料時間點
Specter（Cointelegraph 引述）	超過 8,600 萬美元，涵蓋 BTC、ETH、Tron	10 月 9 日起（Cointelegraph 10 月 11 日引述）
MistTrack（The Defiant 等媒體引述）	接近 9,000 萬美元	10 月 9 日
Bitquery（區塊客引述）	約 9,320 萬美元、315 個錢包，跨五至六條鏈（各家報導說法不一）	10 月 11 日
CoinDesk 對第三方估算的概括	8,600 萬至 9,300 萬美元、300 多個錢包	10 月 12 日
YFarmX（PANews 轉述 Bloomberg；YFarmX 自家追蹤頁）	高達 1.03 億美元（自家頁面為約 1.034 億美元、530 個地址、七條鏈）	10 月 12 日更新（PANews 10 月 13 日轉述）

這些數字不能直接相加，也不適合取平均值後當成最終損失。不同團隊可能採用不同的地址歸因方式、資產範圍與統計時間，追蹤結果自然會有所差異。

同樣需要注意的是，錢包地址數、被清空的錢包數、受害者人數與遭植入的裝置數，並不是同一個概念。 一名使用者可能控制多個地址；同一個地址也可能涉及不同時間的資金活動。僅憑地址數量，無法推算出確切的受害者人數或受影響裝置數。

截至本文資料截點，公開資訊尚未建立所有被追蹤地址與受植入裝置之間的完整對應關係。因此，較嚴謹的說法是：第三方估算的疑似損失約落在 8,600 萬至 1.03 億美元之間，但實際金額仍待確認。（據 BlockBeats 快訊）。

四、追蹤與凍結：Tether 能凍，但原生資產很難追

資金外流之後，戰場轉到鏈上。部分資金經過不同錢包、區塊鏈與交易服務，增加了追蹤難度。

第三方調查者也指出，部分與事件相關的 USDT 已遭凍結，估算金額約為 1,000 萬美元。不過，這個數據也有口徑差異：MistTrack 只說凍結了 USDT 但未披露金額；Decrypt 與區塊客的 1,000 萬美元數字，出自 YFarmX 與鏈上調查。因此「約 1,000 萬美元」比較像是調查者的估計，而非 Tether 的官方公告。

洗錢路徑方面，兩個鏈上團隊的描述也不一致：

• YFarmX（據 Decrypt 10 月 12 日報導）：2,810 ETH 分三輪經過 Tornado Cash；約 328 萬 USDC 被提領到三個新錢包；1,500 萬 USDT 換成 USDD，之後再把其中 510 萬換回 USDT；另有約 423 萬 USDT 送往幣安充值地址。YFarmX 自家頁面後續更新的數字已不同（例如 Tornado Cash 改為四輪、約 3,783.2 ETH），顯示追蹤仍在進行。

• Bitquery：1,736 ETH 進入 Tornado Cash 與 Zcash；約 535 萬美元的 USDC 位於仍可能被 Circle 凍結的地址。

（這些數字不能直接合併，因為兩邊統計的錢包範圍與資產口徑不同。）

把 USDT 換成 USDD，正是針對發行商凍結機制的規避手法。穩定幣發行商可以凍結自己發行的資產，但對 BTC、ETH 這類原生資產，一旦進入混幣器或隱私幣，追回難度會高很多。

所以，凍結 1,000 萬美元，不等於追回 1,000 萬美元，更不等於被盜金額的一成已經回到受害者手中。凍結只是可能的處置步驟之一，後續仍需確認資產狀態、法律程序與發行商的處理方式。

五、經銷商與供應鏈：有人說「買下經銷商」，但沒有證據

這起事件引發的另一個問題，是硬體錢包的供應鏈安全。

CZ 曾公開推測，攻擊者可能「買下經銷商並要求簽署保密協議」。目前沒有獨立證據證實這個說法，CryptoBilis 也未就此提供可核實的說明，因此不應把它當成事件成因。

但這個未經證實的說法，確實帶出一個值得討論的結構性問題：硬體錢包的安全不只取決於製造商的設計，也受到生產、運送、倉儲、經銷與退貨等環節影響。

Ledger 的 Genuine Check 驗證的是安全晶片，缺無法偵測外加的硬體，這和一般人想像的「官方驗證通過就沒事」有落差。這個落差不是 Ledger 獨有，任何依賴經銷網的硬體錢包都可能面臨。

這並不代表 Genuine Check 完全沒有作用，而是其驗證能力有明確邊界。使用者不能單憑驗證通過，就認定裝置從出廠到購買的每一個環節都沒有受到改動。

事件發生後，其他硬體錢包廠商也開始採取預防措施。PANews 轉述 Bloomberg 指出，OneKey 撤銷了 CryptoBilis 的分銷授權，並公布相關換新安排；Trezor 也表示沒有收到其產品遭改裝的通報，但仍將 CryptoBilis 移出授權經銷網路。

這些措施反映出，供應鏈與經銷商管理已成為整個硬體錢包產業需要重新檢視的問題。

至於歐洲零售通路出現疑似改裝裝置的個人報告，截至本文資料截點，相關案例與 CryptoBilis 事件之間尚未建立完整的直接關聯。Ledger 表示正在調查其他裝置與地區的相關報告，因此現階段既不應認定問題已擴散至所有渠道，也不應將其他渠道全面排除在調查之外。

六、研究與事件之間，還有一段距離

除了 Ledger Donjon 的分析，Tibane Labs 也公布了疑似硬體植入物的研究。依 Ryder 的整理，Tibane 稱已追蹤到植入物至少三代設計，最新一代使用客製柔性電路板，晶片標記被磨除；首次公開報告則可追溯到 2025 年 8 月。

但這裡必須劃清幾條界線：

• Ryder 是 Ledger 的競爭對手，文章也自行揭露了這點，其轉述的 Tibane 說法目前是單一來源；Ryder 作者也表示，自己沒有親自檢驗任何一台樣本。
• Tibane 檢驗的兩台實體樣本，都不是從 CryptoBilis 購得：一台來自日本 Yahoo 拍賣，一台來自日本亞馬遜、由中國賣家自馬來西亞出貨。
• 因此，這些樣本可以提供疑似植入物的技術線索，卻不能直接證明它們與本次資金損失事件有關。

歐洲方面，也有使用者 Johannes 聲稱自己在兩家 MediaMarkt 門市購買的 Ledger 裝置內發現疑似改裝元件，並指出貨源涉及 Aqipa GmbH。但這些個人主張與相關裝置的完整來源，當時仍有待進一步確認。

應該區分三件事：

• Ledger 已在至少一台與 CryptoBilis 事件相關的裝置中確認植入物。
• 其他研究提供了疑似植入物的技術線索，但樣本來源與本次事件未必相同。
• 歐洲零售通路的個人報告，仍需要相關企業與獨立調查提供更多證據。

多代設計可能意味著改裝技術曾經演進，但不能僅憑這一點，就推論已經存在大規模量產、跨國組織或完整的經銷商收購計畫。

七、對台灣投資人意味著什麼？

直接影響有限：Ledger 確認的案例集中在 CryptoBilis 的東南亞渠道。間接影響則不小，因為台灣投資人買硬體錢包，常見管道包括海外網購、跨境代購與二手平台，這些管道的風險結構，與這次事件的核心問題相近。

以下是較務實的檢查方向：

• 盡量向原廠官網直購：Ledger 表示直營渠道未受影響；若必須透過經銷商，先在官方網站確認該經銷商的授權資格。

• 不要使用來路不明或二手裝置：包含包裝已被拆過、或標價明顯偏低的商品。

• 不要使用預先設定好的助記詞：這是所有硬體錢包的通用原則。

• 若對來源有疑慮，新助記詞比更換裝置更關鍵：問題在於助記詞可能已被截取，換一台新裝置但沿用舊助記詞，風險並未消除。

• 提防冒充客服的訊息：事件期間，詐騙者可能趁機聯絡受影響用戶，官方客服不會索取助記詞。

若曾向 CryptoBilis 購買任何硬體錢包，應直接聯絡原廠確認處理方式，而不是依社群貼文自行判斷。

八、接下來該盯什麼？

與其猜測最終損失是 9,000 萬還是 1 億美元，不如盯住以下幾個可驗證的指標：

• Ledger 是否公布受影響裝置數量與損失的官方口徑：包括受影響裝置數量、已確認的資金損失案例，以及官方如何界定與本次事件有關的錢包。如果官方數字與第三方估算差距很大，代表鏈上歸因方式需要重新檢視。

• 是否出現其他經銷商或地區的獨立確認案例：目前其他地區的報告仍需更多證據，才能判斷問題是否超出 CryptoBilis 渠道。

• 已檢驗的植入物是否能和被盜錢包直接連結：目前 Tibane 檢驗的樣本都不是從 CryptoBilis 購得，如果調查能進一步確認裝置、助記詞外傳與資金轉移之間的關係，就能更精確地界定事件範圍。

• 其他硬體錢包廠商是否公開經銷網稽核：OneKey 已經動作，若更多廠商跟進，代表通路管控成為產業議題。

• Tether、Circle 的凍結金額是否有官方說明：目前相關金額主要來自第三方追蹤，仍需區分凍結、追回與返還受害者三個不同階段。

• CryptoBilis 是否公開回應所有權與保密協議的疑問：CZ 的推測要被驗證或推翻，都需要當事方說明。

結語：問題不在晶片，而在晶片以外的信任鏈

真正決定這起事件走向的，不是 Ledger 的安全晶片有沒有被破解，而是購買、運送、退貨與上架的每一個環節，是否值得被信任。

目前 Ledger 確認的是一個窄而硬的事實：CryptoBilis 渠道售出的裝置被植入硬體。第三方估算的金額很大，但還沒有被證實；歐洲案例與併購經銷商的說法，更需要時間驗證。

如果通路本身不被信任，再好的安全晶片，也只是保護了一個已經被截取過的秘密。

本文為市場資料整理與分析，不構成投資建議。