供应链投毒致 1 亿美元被盗，Ledger 遭全面下架

据 Woofun AI 消息， 于 2026 年 10 月 13 日证实，已将 旗下产品从欧洲线下门店及线上平台全面下架。这一紧急决策直接源于多名用户反馈其购入的设备内部含有未授权电缆与蜂窝通信模块，导致硬件安全防线被物理突破。

此次下架标志着加密硬件供应链投毒事件从东南亚扩散至欧洲核心市场。2026 年 10 月 9 日，Ledger 披露其授权分销商 售出的设备出现异常资产流失，并随即叫停全部出货。数据显示，CryptoBilis 前创始人已于 2026 年 3 月完成股权交割退出运营，该机构长期负责印尼、马来西亚及菲律宾的设备分发，成为篡改源头。物理篡改随后在更多离线网点被证实。

2026 年 10 月 12 日，前 首席执行官 公开表示，其在新加坡樟宜机场 门店购入的 钱包内同样被植入间谍芯片。紧随其后，欧洲用户 曝光在德国两家 门店购入的设备均包含异常焊接电缆与蜂窝模块，能够在初始化生成助记词时绕过安全芯片向外回传私钥。MediaMarktSaturn 发言人于 2026 年 10 月 13 日确认，集团已下架全部 Ledger 硬件，正在与厂商核实调查细节。

网络安全分析指出，Ledger 已在调查公告中确认受害设备存在硬件植入物。黑客自 2026 年 9 月 25 日至 10 月 7 日在与上发起 41 次小额授权提取测试，并在 10 月 9 日协调 324 个钱包在数分钟内集中交出控制权并划转资产。

Woofun AI 整理数据显示，在被盗的 1.02 亿美元中，承载了最大损失，140 个钱包被盗 7930 万美元，金额占比达 77.75%；被清空 203.8 枚 ，价值 1680 万美元，占比 16.47%；以太坊损失 368 万美元，其余三条公链（、、）合计损失 228 万美元。 案发后冻结了 20 个涉案波场地址的 1000 万美元 ，但据测算，该冻结仅拦截了波场链总被盗资产的 12.61%。黑客迅速将其余 2370 万美元换仓为 ，随后经由 兑换为 9847 枚以太坊，并向 与 注入至少 6680 枚以太坊完成清洗。

官方建议的'排查过去 90 天内设备'存在明显时间敞口。受害钱包中有 40% 的首笔入账早于 90 天安全线；仅 2026 年 6 月注资的波场受害地址就达 42 个，占该链受害总量的 30.0%。这项数据佐证，物理篡改发生时间比官方建议的排查窗口提前了至少一个月。硬件钱包的安全假设建立在物理供应链不可篡改的前提之上，当攻击面下沉至离线分销渠道与物理芯片植入，冷存储的信任链条即面临根本性破裂。截至 2026 年 10 月 13 日，黑客控制地址内仍有 238 万美元 处于未转移状态， 尚未发布黑名单冻结令，针对 CryptoBilis 与欧洲零售环节的跨国司法取证仍在进行中。