币圈界报道：

“CryptoBilis”硬件钱包漏洞案：资金持续外流，追查进入关键阶段

针对近期引发广泛关注的“CryptoBilis”Ledger设备安全事件，分析机构Arkham Intelligence披露最新进展：被盗资产已分布于1,486个独立地址，总价值达9,535万美元。更值得关注的是，在过去48小时内，已有超过1,384万美元被分批转移至多个链上节点，表明攻击行为仍未停止。

多源数据揭示资金规模动态变化

该数值为持续更新结果，并非初始估算。早在十月中旬，相关金额已接近8,600万美元，当时焦点集中于受篡改设备的流通范围。随着进一步关联分析，更多地址被纳入追踪范围。数据显示，主要资金流出集中在2026年10月7日至9日期间。

不同机构估值存在显著差异

数据统计口径差异导致结论不一。例如，数据公司Bitquery在10月16日报告的涉案总额约为1.02亿美元，高于此前多数机构的8,600万至9,300万美元区间。这种偏差源于各机构对“攻击者地址”的判定标准不同——若将后期确认属于第三方的地址计入，总额便可能虚高。

资金转移速度加剧追索难度

尽管部分资金仍处于可追踪状态，但其流动性正在迅速提升。当前被标记的地址中尚存约3,044万美元，这些资产虽可通过链上监控识别，但并不意味着可直接返还或强制冻结。调查人员正重点关注其最终流向，尤其是是否通过中心化兑换平台实现币种转换。

Tether在Tron链上实施大规模冻结操作

稳定币发行方Tether已于10月9日介入，成功在Tron网络上冻结1,000万零10枚USDT。该操作基于其发行机制，通过将特定地址列入黑名单，阻止代币转移。然而，此手段仅适用于中心化稳定币，对于无发行方的原生资产（如比特币）则无法适用。

攻击核心：设置阶段读取24位助记词

据Ledger安全部门Donjon披露，此次攻击的关键在于设备内部新增了一个隐蔽组件。该组件在用户首次配置过程中，实时截取24位恢复助记词，并通过预置的eSIM卡经由移动网络远程传输。

为何数周后才暴露？时间窗口决定爆发节奏

攻击者并未立即清空钱包，而是选择在掌握助记词后择机行动。分析显示，大部分资金转移发生在10月9日一个51分钟的集中时段内。此前无任何异常提示，用户完全无法察觉，这使得事件具有极强隐蔽性。

制造商强调系统未被破坏

Ledger明确指出，本次事件中的恶意组件未修改其安全元件（即密钥存储芯片）、操作系统或签名流程，且未波及官方基础设施与销售渠道。这一声明带来双重启示：一方面，正规渠道购买的设备仍具基本安全保障；另一方面，设备在首次启用前的流转环节成为最大风险点。

源头锁定：东南亚零售商被确认为唯一入口

经过内部排查，所有已确认案例均指向一家名为CryptoBilis的东南亚零售商。该公司销售的设备中发现未经授权的硬件植入物。尽管尚未对其提出正式指控，但已暂停相关产品的发货与销售。德国市场亦因此启动应急响应。

多国零售商同步采取管控措施

在德国发生首例篡改事件后，MediaMarkt与Saturn两大零售巨头随即暂停了所有Ledger设备的线下销售。与此同时，Ledger加强了对合作零售商的安全审查，并终止了多个东南亚市场的授权协议。消费者若在实体店购入设备，可依法向卖家主张缺陷产品责任。

厂商提供分场景应对指南

针对不同用户状态，Ledger提出具体建议：从该零售商购入但未设置的设备应立即停止使用并联系支持团队；已完成设置的用户须尽快将资产迁移至全新设备并生成新助记词；已遭受损失者应在拆解前通知执法部门，以保护现场证据。

新加坡再曝两起疑似关联案件

10月28日，新加坡警方通报两起类似事件，初步怀疑涉及助记词或私钥窃取组件。其中一起发生在机场零售点，目前尚无法确认与已知系列案件是否存在关联。案件数量与金额仍在上升，表明潜在影响面可能超出最初预期。

自我托管模式面临根本挑战

此类事件凸显了“自我托管”背后的复杂责任链条——从制造到激活，每个环节都需全程可控。对于不愿承担全链管理风险的用户而言，转向受监管的托管服务成为替代路径。根据欧盟MiCA法规，合规提供商可在承担监管义务的前提下提供资产保管服务。

三步应对策略：确保资产安全

核查购买来源：确认设备采购渠道，保留交易凭证。若需更换，请优先选择制造商直供或认证经销商。创建新钱包：如有疑虑，使用全新助记词建立新钱包，并完成资产迁移。理性分配持有权限：根据自身风险承受能力，将高价值资产交由持牌机构托管，低额部分可自行管理。参考软件钱包对比指南，合理选择工具。

（截至2026年10月29日。本文不构成投资建议。价格和费用结构可能发生变动；购买前请与服务商核实条款。）