钱一进硬件钱包就蒸发：元凶是颗2mm的"截屏"植入物
10月9日下午，一场"点名式"清扫在5条链上同时发生：TRON网络上第一笔资金被划走约1秒后，BNB Chain和Polygon的钱包开始失血，11秒后以太坊出现同一份授权——第一笔授权落下后的6秒内，2900万美元USDT被抽干。比特币网络这边，111笔转账被扫进同一个区块。第三方统计：311个钱包、至少9290万美元。这些钱的主人分布在印尼、马来西亚、菲律宾，他们只有一个共同点——钱包都来自同一家经销商CryptoBilis，Ledger官网挂了三个地区授权名额的"正规店"。律动BlockBeats
没人想得通：私钥明明离线。直到前Mt. Gox CEO Mark Karpelès拿起螺丝刀。律动BlockBeats
一颗藏在"泡沫垫"位置的小板子
他拆开一台热缩膜完好无损的Ledger：2mm×2mm的植入物，恰好藏在屏幕缓冲垫本该在的位置，旁边是LTE模块、eSIM和一根原装机上不存在的天线飞线。律动BlockBeats
PANews披露的更多样本里，连旗舰款Ledger Stax的主板上都多出一块小板，以及一枚标注为Nordic nRF9151的蜂窝通信模块。慢雾创始人余弦的评价很直白：这帮人堪称"硬件黑高手"。PANews
慢雾复盘的攻击路径让所有安全圈后背发凉：恶意模块接在屏幕数据线（SPI）上。你首次设置钱包时，24个助记词在屏幕上显示，它就在你"抄词"的时候全程直播录像，录齐后通过蜂窝网络直接发走。安全元件能保证"私钥不读不吐"，却挡不住有人架在你屏幕对面。律动BlockBeats登链社区
盒子没输，输的是链条
10月24日，Galaxy Research又披露Coldcard随机数漏洞后果：1200个地址、超1000枚BTC、约7000万美元被盗，根子出在整条链路的第一环——熵源。kimmking在知乎的答案说透了这件事：一台硬件钱包的命是"真随机熵源→助记词→私钥→签名→固件"这样一条链条，安全不是盒子的属性，是链条的属性。芯片是真的、包装没拆，不代表每一环都没写错。知乎
信任警报已经拉响。Ledger在10月12日凌晨发布了72小时更新说明，披露最新调查进展及后续应对措施。已确认的资金被盗案例均涉及经CryptoBilis销售的设备，该经销商已停止销售所有硬件钱包；加密分析师Darkfost整理出涉及20多个经销商的潜在风险名单，提醒近6个月内购买者审慎评估设备安全性。OneKey终止CryptoBilis授权并为该渠道用户免费换机，SafePal搬出防拆封条加首次激活日期验证，Trezor下架该经销商——各家都在拼命修补"信任何以成立"这个前提。PANews
普通玩家能做的5件事
只走官方直销或可核验的授权渠道，收到货先查封条、验设备真伪，官方正品照片示意图可对比核对PCB有无额外装置。10的6次方
没设置的可疑设备别初始化，已设置的立即把资产转移到官方渠道新设备、生成全新助记词，别复用旧种子。PANews
会用的把passphrase（第25个词）开起来，词单泄漏和资产被盗就此解耦。知乎
大额资产上多签，单一设备熵被预测也凑不齐签名；
别学网红直播拆机：Trezor特别提醒，自行拆解可能损坏设备，内置电池款还有额外风险，验证交给官方App和客服。
这场风波真正被清空的不是那9000多万美元，而是"盒子可信"四个字的默认值。下一次下单"资产保险箱"之前，先确认保险箱出厂时没人提前打过孔。
