Ledger历史安全事件盘點：假应用曾致950万美元被盗，今日被盗事件為最大规模

2026年10月9日，硬件錢包企業Ledger再度遭遇安全危機，第三方安全機构预估此次事件造成的经济损失接近9000万美元。企業已针对东南亚授权经销商CryptoBilis的设备销售环節展開调查，要求其立即停止销售与物流配送，并提醒近90日内通過该渠道购機的用户需警惕潜在安全风险，建议及時转移数字资产。目前事件成因尚在核查中，初步指向供应链或终端设备被篡改的可能性。<br /> <br /> 梳理Ledger安全事件發展脉络：<br /> - 2018年：早期硬件与供应链安全漏洞集中暴露。安全专家揭示Nano S设备在出厂前存在被篡改风险，同時曝出MCU引导程序绕過機制、隔离失效及Bitcoin找零地址注入等安全隐患。企業通過發布安全通告逐步修复漏洞，但多数问题仍需物理接触设备方可触發。<br /> - 2020年：客户数据大规模外泄。攻击者利用第三方API密钥及Shopify係统漏洞入侵電商平臺数据库，导致超過100万封邮箱地址及27.2万至29.2万条客户信息（含姓名、地址、联係方式等）泄露。尽管硬件存储与私钥未直接受损，但事件直接引發長期钓鱼、社會工程學攻击及伪造官方邮件诈骗。<br /> - 2023年12月：供应链攻击事件。前员工遭钓鱼攻击後控制NPMJS账号，發布篡改後的Ledger Connect Kit恶意版本。该恶意组件被注入依赖其库的DApp，诱导用户签署盗幣交易，涉案金额达48万至60万美元。企業强调硬件设备及Ledger Live软件本身未遭直接攻击。<br /> - 2026年1月：订单信息泄露。支付物流合作方Global-e係统遭未授权访问，导致部分Ledger.com订单字段（包括用户姓名、地址、联係方式等）外泄。企業确认自身係统与私钥未受损，但进一步加剧了钓鱼攻击的威胁。<br /> - 2026年4月：App Store虚假应用诈骗。仿冒Ledger Live的应用程序在平臺上线约一周，诱骗用户输入助记詞後盗取资产。超50名受害者合計损失约950万美元，涉及多条区块链网络。苹果随後下架该应用，Ledger重申不會要求用户提供24詞助记詞。<br /> - 2026年8月：以太坊签名機制缺陷。多個漏洞（如LSB-023）被披露，包括命令执行顺序错位导致签名参数显示异常、Clear-signing機制被绕過等。企業称无确凿用户被利用證据，相關漏洞已在新版固件中完成修复。<br /> - 2026年10月9日：最新经销商關联事件。与CryptoBilis渠道相關的錢包清空事件引發關注，预估损失接近9000万美元。企業已启动调查程序，初步判断為针对特定销售渠道的供应链或设备篡改攻击，并采取暂停销售、资产迁移建议等应对措施。