币圈界报道：

“CryptoBilis”硬件钱包漏洞事件：资金转移未止，追查进入关键阶段

针对“CryptoBilis”系列Ledger设备的恶意攻击仍未结束。据Arkham Intelligence于2026年10月29日披露，被盗资产已分布于1,486个独立地址，总价值达9,535万美元，其中过去48小时内有1,384万美元完成转移。该事件虽已持续三周，但其影响仍在扩大，成为当前加密领域最严峻的安全警报。

多源数据揭示资金流动趋势，总额范围仍存争议

尽管各分析机构对具体数值存在分歧，但核心结论一致：涉案金额呈上升态势。目前统计显示，受影响地址总数为1,486个，总值9,535万美元。此前十月中旬的数据为8,600万美元，后续因关联更多地址而上调。值得注意的是，不同机构采用的归因标准不一，导致结果差异显著。

Bitquery与Arkham估算差距源于归属判定逻辑

数据公司Bitquery在10月16日报告称涉案金额约为1.02亿美元，高于Arkham的统计。这种偏差主要源于对攻击者控制地址的界定方式不同。若将后期确认属于第三方的地址计入，总额将被高估。因此，综合来看，真实金额应处于8,600万至1.02亿美元之间，而非单一精确数字。

48小时巨额转移凸显清空机制运作效率

攻击者利用“清空器”（Drainer）程序，在获取助记词后迅速执行大规模转账。这些资金通过多链分发，最终流入提供兑换服务的平台，转换为稳定币或法币。目前，仍有约3,044万美元处于可追踪状态，但能否追回取决于监管介入和平台配合程度。

Tether在Tron链上冻结超千万枚USDT

为阻断资金流转，稳定币发行方Tether于10月9日对Tron链上的1,000万零10枚USDT实施冻结。该操作基于中心化机制，仅适用于由发行方控制的代币。对于比特币等去中心化资产，无此类干预手段，追索难度极大。

隐蔽植入物在设置阶段窃取24位助记词

Ledger安全部门Donjon披露，问题设备内嵌有额外组件，可在首次配置期间截获24位恢复短语，并通过预设eSIM卡经移动网络外传。助记词是重建所有私钥的核心，一旦泄露，即意味着完全失控，即便设备后续看似正常运行也无意义。

攻击延迟暴露时间窗口极短

从信息窃取到资金清空之间存在主动延迟，攻击者选择在2026年10月9日的51分钟内集中发起交易。在此之前，用户无任何异常提示，系统无告警、无更新记录。这一高度集中的爆发模式既利于调查锁定地址，也使用户几乎无法及时反应。

Ledger确认安全芯片与系统未被篡改

厂商强调，此次事件中安全元件（SE）及操作系统均未被修改，交易签名流程亦未受影响。这表明攻击路径并非针对设备本身，而是发生在供应链环节。这意味着：直接从官方渠道购入的设备不受影响，但中间环节的流转风险不容忽视。

所有确认案例均指向东南亚零售商CryptoBilis

Ledger内部调查显示，所有已确认的受感染设备均来自东南亚零售商CryptoBilis。该公司已于10月10日暂停销售与发货。尽管尚未明确植入物如何进入设备，但其分销链条已被锁定。《The Record》已报道相关技术细节及安全团队评估。

德国零售商暂停销售，监管收紧供应链管控

在德国报告首例篡改案件后，MediaMarkt与Saturn立即停止销售Ledger设备，即使当时尚无法确定是否与东南亚系列有关。与此同时，Ledger加强了对授权经销商的安全审查，并终止了多个东南亚市场的合作授权。

厂商发布三类用户应对指南

针对不同情况，Ledger提出明确建议：若设备尚未设置且来自CryptoBilis，应立即停止操作并联系支持；若已设置，须立即将资产迁移至新设备并生成全新助记词；若已遭受损失，应在拆解前通知执法部门，避免破坏关键证据。

新加坡新增两起疑似案件，调查范围扩展

10月28日，新加坡警方通报两起类似事件，可能涉及助记词或私钥的远程窃取。其中一起发生在机场零售点，目前尚无法确认是否与已知系列相关。案件数量与金额同步增长，暗示潜在攻击模式正在扩散。

自我托管模式面临信任危机，合规托管成替代选项

本事件揭示了自我托管的深层风险——需全程掌控供应链。对于不愿承担此责任的用户，可转向受监管的托管服务。根据欧盟MiCA法规，此类提供商需接受严格监管，以换取用户的资产保管权。代价则是引入交易对手风险，需在安全性与便利性间权衡。

行动清单：保障资产安全的四步策略

核查购买来源：确认设备是否通过正规渠道获取，保留完整凭证。更换设备时，优先选择制造商或其指定经销商。创建新钱包：如有疑虑，使用新助记词设立新钱包并转移资金。过渡期可参考软件钱包对比指南。合理分配资产：依据个人风险承受能力，将高价值部分交由持牌机构托管，其余自行管理。所有决策前请核实最新条款与费用结构。