一枚冷钱包，本该是全屋最“离线”的东西，现在却是钱包自己先“上了网”。
10月9日，Ledger公告正在调查部分东南亚用户的资产损失报告。随后官方首次公开确认部分硬件钱包存在未经授权的硬件植入，链上调查员Specter统计：数百个钱包被搬空，横跨BTC、ETH、TRON，损失可能超过8600万美元。知乎微博微博
出事的是名列官网经销商名录的CryptoBilis，覆盖马来西亚、印尼、菲律宾。Ledger已要求该经销商暂停全部钱包销售并同步展开调查。哔哩哔哩微博
比数字更瘆人的是手法。安全研究员tombkeeper给出的拆机结论：设备里被植入了一块带LTE通信模块的后门电路，它可以监听设备发送给屏幕的显示数据。而助记词必须屏幕明文展示给用户抄写，这是BIP流程的必要环节，不属于设计缺陷。初始化时屏幕上字亮起的那一秒，已经被蜂窝网络发了出去。微博知乎
也就是说，BIP协议没破，安全芯片没破，真正的风险来自分销渠道——官网名录内的授权经销商对设备私自改装。“官方授权”四个字本身也不是断链：CryptoBilis已于2026年3月被收购，原团队退出经营管理，公司登记信息显示一名黑龙江地址人士8月出任董事、9月又辞任。你核验的是名录，货走的是路。链上数据也佐证这不是盲扫：约92%被盗BTC在归集时持有不足90天，攻击者掌握设备状态，是有目标的信息优势。知乎微博哔哩哔哩
同月另一场事故，方向更“硬件安全研究”。Coldcard栽在一次固件迁移bug上：程序判断硬件随机数是否开启的条件写错，硬件真随机源实际已经关闭，系统转用可预测的软件伪随机数生成种子，攻击者拿到芯片ID后普通电脑短时间就能穷举全部可能种子；这个缺陷潜伏五年，2026年7月30日被黑客大规模利用，Galaxy Research口径约1200个地址、超过1000枚BTC、损失约7000万美元。而自行用骰子生成高熵助记词、额外配置强Passphrase（俗称第25个词）的两类用户，基本没有受到波及。知乎知乎
两件事拼一起，就一句话：安全这个词需要重新定义——它不是盒子的属性，是链条的属性。熵源、固件、屏幕、渠道、你的保管习惯，掉哪一环都清零。知乎
普通用户现在能抄作业的三件事：
只走官方直营渠道，到货核验封条与序列号；助记词不拍照存手机、不上传网盘，也别和Passphrase写在同一张卡片上。知乎
助记词上金属板，Passphrase单独保管；Passphrase能把助记词泄漏和资产被盗这两件事解耦——词丢了，没有口令照样开不了。知乎
大额上多签，不想承担自托管的学习成本，就选受监管的托管方、同时接受对手方风险，这是个明明白白的取舍。
至于防供应链投毒，tombkeeper给了条最朴素的原则——“用老不用新”：买回来先别用，等两年再说。大部分人都没有能力检测自己买的硬件钱包有没有被植入后门，但这个原则是所有人都能执行的。微博
你的钱包，真的“冷”吗？
