Ledger 被盗事件：经销商 CryptoBilis 相关用户损失近 9000 万美元，已知事实与冷钱包激活后必做的检查

2026 年 10 月 9 日晚上，Ledger 官方表示正在调查一批东南亚用户的资产被盗事件，这些用户的设备都是向经销商 CryptoBilis 购买的。链上分析人员估计损失超过 8600 万美元，Tether 也已冻结部分相关地址上的 USDT。我前几天才从 Ledger 买了一台新的冷钱包，所以特别留意这件事，也发现很多中文快讯只讲了一半。

先说结论：目前已知的是「向特定经销商购买的设备出了问题」，原因还在调查，没有证据显示所有 Ledger 都不安全。如果你是过去 90 天向 CryptoBilis 购买的，照 Ledger 的建议处理；如果不是，买冷钱包时直接向官网或授权经销商购买，激活时确认助记词是设备自己产生的、通过 Genuine Check，并确认第一个地址没有任何交易纪录。

本文整理截至 2026 年 10 月 9 日晚上（台湾时间）的公开信息，事件仍在调查中，数字和原因可能更新；我会随调查进度更新本文。本文不构成投资或资安顾问建议。

目前已知的事实

CoinDesk 的报导特别注明，损失金额和这些被盗案之间的关联，目前都还没有独立证实；Ledger 的声明也没有确认损失金额或原因（CoinDesk）。

Ledger 官方的建议

Ledger 在声明里给了两点建议，对象是过去 90 天向 CryptoBilis 购买的用户：

1. 还没激活的，不要开始设置。
2. 已经激活的，考虑把资产转到另一台新的 Ledger，并使用新产生的助记词。

有任何问题，只透过 Ledger 官方客服 联系。

哪些说法还没证实

我看到的几则中文快讯，各自只写了一部分，有的还加了推测：

• 「Ledger 被骇」：Ledger 的声明只说调查向特定经销商购买的用户损失，没有说是 Ledger 本身被骇。
• 「弱随机数造成助记词被猜到」：这是推测，Ledger 没有证实任何技术原因。
• 「供应链攻击」：赵长鹏表示，依目前信息，看起来是单一经销商的供应链攻击，少数用户可能买到伪造或被动过手脚的设备（The Cryptonomist 报导）。这是目前最多人引用的说法，但也还不是调查结论。

所以，比较准确的说法是：向某家经销商购买的设备疑似出了问题，原因调查中。看到「所有 Ledger 都不安全」或「已确认是某某漏洞」的说法，先回头看 Ledger 官方账号说了什么。

币圈新闻怎么查证

这次我自己的做法：

1. 找当事人的官方账号：这次是 @Ledger_Support。官方说什么、没说什么，比快讯标题重要。
2. 找数字的原始出处：「9000 万美元」来自链上分析人员的追踪，不是 Ledger 公布的数字。
3. 注意「尚未证实」这几个字：可靠的媒体会写出哪些还没证实，快讯常常省略。
4. 事件之后的诈骗：大事件后常出现假客服、假补偿、假「安全检查」网站，要你输入助记词。真正的 Ledger 永远不会要你在电脑、手机或网站上输入助记词（Ledger 说明）。

我为什么特别关注：前几天才买了新的 Ledger

我前几天刚向 Ledger 买了一台新的冷钱包，正在等它送到，所以特别关注这件事。追这则新闻的过程中，我发现币圈的消息真的要多查证：我看到的很多繁体中文、简体中文报导，都只讲了事情的一半。

我收到的 Ledger 出货通知，2026 年 10 月截屏

这次出问题的是经销商通路。Ledger 自己也说明，它的 Genuine Check 可以确认设备里的安全芯片是真的，但无法侦测安全芯片完好、其他硬件被加装东西的情况，也无法验证设备在运送过程中经过哪些人的手（Ledger 说明）。所以向谁买，本身就是安全的一部分。

冷钱包买来后，怎么确认是全新、没被动过手脚

冷钱包的安全，创建在一件事上：助记词只有你知道。助记词是 24 个英文单字，可以还原你所有的私钥，谁拿到谁就能转走资产。供应链攻击的典型手法，就是在设备到你手上之前，先产生一组助记词并留一份，等你存入资产再转走（Ledger 称为 pre-seeded，预先植入助记词）。

购买时

• 向 Ledger 官网购买，或从 Ledger 公布的官方授权经销商名单里选。直接向官网买，可以少一层中间环节。
• 不要买二手、拍卖、来路不明的设备，价格再便宜也不要。
• 包装看起来被打开或被改过，就不要使用，直接联系 Ledger 客服。

激活时：逐项检查

1. 助记词卡必须是空白的：Ledger 的助记词卡永远是空白的，设备也不会预先设置助记词或 PIN 码。卡片上已经印了或写了单字，不要用，直接联系 Ledger 客服（Ledger 说明）。
2. 选「设置为新设备」，让设备自己在屏幕上产生 24 个单字。不要选「用助记词还原」去输入别人给你的单字。
3. 完成 Genuine Check：只从 Ledger 官网或官方 App 商店下载 Ledger Wallet，设置时它会向设备发出验证，确认安全芯片是真的（Ledger 说明）。没通过就不要用。
4. 确认第一个收款地址是全新的：在 Ledger Wallet 产生收款地址，以设备屏幕上显示的为准，到对应链的区块链浏览器查找（例如 Ethereum 用 Etherscan、Tron 用 Tronscan、Bitcoin 用 mempool.space）。全新的地址应该没有任何交易纪录。有纪录或有余额，代表这组助记词以前被用过，不要存入任何资产。
5. 用 Recovery Check 确认抄写正确：Ledger 提供的 Recovery Check 可以在不泄漏助记词的情况下，确认你抄下的 24 个单字是对的。
6. 先小额测试：先存入一小笔，再试着转出一小笔，确认收付都正常，再放大笔资产。

第 4 项有一个限制：攻击者如果准备了一组从没用过的助记词，地址同样不会有交易纪录。所以这项检查只能抓到「用过的助记词」，不能单独证明设备没问题，要和第 1 到 3 项一起做。

平常使用时

• 助记词只写在纸上或金属板上，不拍照、不存云端、不传给任何人。
• 任何要你输入助记词的网站、App、客服，都是诈骗。
• 大额资产分散存放：不要把所有资产放在同一组助记词里。这次的案例中，有用户在购买三周后存入 700 万 USDT，全部被盗。

如果你是向 CryptoBilis 购买的

照 Ledger 的建议：

1. 还没激活：不要激活，先联系 Ledger 官方客服。
2. 已经激活：考虑把资产转到另一台向官网或授权经销商购买的新 Ledger，并使用新产生的助记词。
3. 资产已经被转走：保留交易纪录，联系 Ledger 官方客服。Security Alliance 也表示，资产被转到相关地址的人可以透过 SEAL 911 的 Telegram 机器人联系它们（The Cryptonomist 报导）。
4. 小心假冒的协助者：自称可以帮你追回资产、要你先付费或提供助记词的，几乎都是诈骗。

冷钱包和交易所的差别、什么时候该把资产从交易所提到自己的钱包，见〈储备金证明怎么查〉的「看到警讯时怎么做」。更多文章在加密货币主题页。

常见问题

Ledger 被盗事件是 Ledger 的冷钱包被破解了吗？

截至 2026 年 10 月 9 日，没有证实。Ledger 的声明只说正在调查向东南亚经销商 CryptoBilis 购买设备的用户资产损失，没有说明原因；目前比较多人讨论的是供应链问题，也就是设备在到用户手上之前被动过手脚，但这也还不是调查结论。

我的 Ledger 不是跟 CryptoBilis 买的，需要处理吗？

Ledger 的建议只针对过去 90 天向 CryptoBilis 购买的用户。不是跟这家买的，可以照一般做法检查：助记词是不是设备自己产生的、有没有通过 Genuine Check、第一个收款地址有没有交易纪录。

跟 CryptoBilis 买的 Ledger 该怎么办？

Ledger 建议：还没激活的不要激活；已经激活的，考虑把资产转到另一台新的 Ledger，并使用新产生的助记词。有问题只透过 Ledger 官方客服联系。

怎么确认新冷钱包的地址是全新的？

在设备屏幕上确认第一个收款地址，到对应链的区块链浏览器查找，全新的地址应该没有任何交易纪录。有纪录或余额就代表这组助记词以前用过，不要存入。这个检查只能抓到用过的助记词，不能证明设备没问题，所以还要搭配其他检查。

冷钱包要去哪里买比较安全？

Ledger 建议向 Ledger 官网或官方授权经销商购买，并在激活时完成 Genuine Check。这次事件出问题的是经销商通路，直接向官网购买可以少一层中间环节。不要买二手或来路不明的设备。