Ledger历史安全事件盘点：假应用曾致950万美元被盗，今日被盗事件为最大规模

2026年10月9日，硬件钱包企业Ledger再度遭遇安全危机，第三方安全机构预估此次事件造成的经济损失接近9000万美元。企业已针对东南亚授权经销商CryptoBilis的设备销售环节展开调查，要求其立即停止销售与物流配送，并提醒近90日内通过该渠道购机的用户需警惕潜在安全风险，建议及时转移数字资产。目前事件成因尚在核查中，初步指向供应链或终端设备被篡改的可能性。<br /> <br /> 梳理Ledger安全事件发展脉络：<br /> - 2018年：早期硬件与供应链安全漏洞集中暴露。安全专家揭示Nano S设备在出厂前存在被篡改风险，同时曝出MCU引导程序绕过机制、隔离失效及Bitcoin找零地址注入等安全隐患。企业通过发布安全通告逐步修复漏洞，但多数问题仍需物理接触设备方可触发。<br /> - 2020年：客户数据大规模外泄。攻击者利用第三方API密钥及Shopify系统漏洞入侵电商平台数据库，导致超过100万封邮箱地址及27.2万至29.2万条客户信息（含姓名、地址、联系方式等）泄露。尽管硬件存储与私钥未直接受损，但事件直接引发长期钓鱼、社会工程学攻击及伪造官方邮件诈骗。<br /> - 2023年12月：供应链攻击事件。前员工遭钓鱼攻击后控制NPMJS账号，发布篡改后的Ledger Connect Kit恶意版本。该恶意组件被注入依赖其库的DApp，诱导用户签署盗币交易，涉案金额达48万至60万美元。企业强调硬件设备及Ledger Live软件本身未遭直接攻击。<br /> - 2026年1月：订单信息泄露。支付物流合作方Global-e系统遭未授权访问，导致部分Ledger.com订单字段（包括用户姓名、地址、联系方式等）外泄。企业确认自身系统与私钥未受损，但进一步加剧了钓鱼攻击的威胁。<br /> - 2026年4月：App Store虚假应用诈骗。仿冒Ledger Live的应用程序在平台上线约一周，诱骗用户输入助记词后盗取资产。超50名受害者合计损失约950万美元，涉及多条区块链网络。苹果随后下架该应用，Ledger重申不会要求用户提供24词助记词。<br /> - 2026年8月：以太坊签名机制缺陷。多个漏洞（如LSB-023）被披露，包括命令执行顺序错位导致签名参数显示异常、Clear-signing机制被绕过等。企业称无确凿用户被利用证据，相关漏洞已在新版固件中完成修复。<br /> - 2026年10月9日：最新经销商关联事件。与CryptoBilis渠道相关的钱包清空事件引发关注，预估损失接近9000万美元。企业已启动调查程序，初步判断为针对特定销售渠道的供应链或设备篡改攻击，并采取暂停销售、资产迁移建议等应对措施。