48小时内卷走1384万美元：Arkham表示“资金转移仍在继续”_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

48小时内卷走1384万美元：Arkham表示“资金转移仍在继续”

2026-10-30 00:12:38

“CryptoBilis”Ledger钱包盗取事件：攻击者仍在转移资金，涉案金额持续攀升

所谓的“CryptoBilis”Ledger硬件钱包盗取事件背后的攻击者并未停止活动。分析公司Arkham Intelligence于2026年10月29日指出，被盗资产分布在1,486个地址中，总价值达9,535万美元，且在过去48小时内已有1,384万美元被转移。对于任何持有硬件钱包的用户而言，这才是今日真正的焦点新闻：尽管该案件已发生三周，但远未结束。

Arkham在X平台（原推特）上发文称：“CryptoBilis Ledger盗取器窃取了9,500万美元，且仍在转移资金。”“Drainer”（清空器/盗取器）是一个技术术语，指攻击者在获取钱包访问权限后立即将其完全掏空的恶意方案。

Arkham统计显示1,486个地址涉及9,535万美元

这一数据是更新后的结果，而非新发现。早在十月中旬，我们关注此案时，焦点集中在8,600万美元的涉案金额及受篡改设备的问题上。此后，Arkham进一步关联了更多地址。根据分析，这些资金流出主要发生在2026年10月7日至10月9日之间。

Ledger官方并未明确确认这一总金额。该公司指出，这些估算来自第三方，且未经其核实。这并非仅仅是形式上的声明，因为不同机构的数据存在显著差异。

Bitquery估算为1.02亿美元，Arkham为9,535万美元

数据公司Bitquery在10月16日发布的一份调查中指出涉案金额约为1.02亿美元。此前的分析结果则在8,600万至9,300万美元之间。出现这种差异的原因在于，每家分析机构都必须自行决定将哪些地址归因于攻击者。如果将一个后来被确认为属于他人的地址计入总数，总额就会偏高。

因此，可靠的结论不是某个单一的具体数字，而是一个范围：根据归属判定和截止日期不同，涉案金额在8,600万至1.02亿美元之间。尽管具体数值有异，但所有分析得出的趋势一致，即金额呈上升趋势。

48小时内转移1,384万美元

对于受影响的用户而言，资金仍在流动这一信息更为关键。被盗资产通常会被分散到多个地址和区块链上，最终流向提供兑换服务的平台，将其转换为其他法币或稳定币。这正是调查人员和稳定币发行商介入的关键节点，也是决定盗窃资金能否追回的核心环节。

目前，Arkham标记的地址中可见的资金为3,044万美元。这部分资金虽然理论上可追踪，但这并不意味着受害者有权直接主张返还，也不代表这笔钱一定会被冻结。

Tether在Tron链上冻结1,000万零10枚USDT

部分资金确实已被锁定。在稳定币发行商Tether于10月9日介入后，1,000万零10枚USDT在Tron区块链上被冻结。“冻结”在此处意味着发行商将相关地址列入黑名单，使得存放在那里的代币无法再被转移。

这种机制仅适用于中心化发行的稳定币，因为存在一个可以干预的发行方。而对于没有发行方的资产（如比特币等），则不存在这样的杠杆。因此，要了解盗窃案中有多少资金可回收，首先必须弄清楚被盗资产以何种形式的价值存在。

植入物在设置期间读取了24位助记词

该案件的技术基础由Ledger的安全部门Donjon披露，这也是本事件区别于普通网络钓鱼攻击的关键原因。受影响的设备中包含了一个额外的组件。它在设备设置期间拦截24位恢复助记词，并通过为此目的配置的eSIM卡，利用移动网络将其发送出去。

恢复助记词（也称为种子短语）是可以重新计算钱包所有密钥的单词序列。谁掌握了它，谁就掌握了资金，无论设备身在何处。在设置过程中读取助记词意味着彻底失去控制权，这也解释了为什么即使设备后续看似正常工作，对用户也无济于事。

为何攻击数周后才被发现？

从拦截到清空之间存在时间差，因为攻击者自行决定何时发动攻击。根据分析，大部分资金流出集中在10月9日的一个51分钟窗口内。在此之前，用户没有任何察觉的迹象：没有可疑更新，没有错误提示，也没有异常交易。

这种集中爆发解释了涉案金额为何能迅速达到三位数（亿美元级别）。攻击者早已掌握助记词，只需触发交易即可。对调查而言，这是一个优势，因为狭窄的时间窗口有助于地址归属；但对用户来说，这是最糟糕的情况，因为在那段时间内几乎不可能做出反应。

Ledger表示安全元件和操作系统未被篡改

Ledger强调了一点，这对所有其他设备都至关重要：该植入物既未修改安全元件（存放密钥的加固芯片），也未更改设备的操作系统，更未干扰交易或签名。公司还声明，目前没有迹象表明其自身基础设施或直接销售渠道受到侵害。

由此得出两个结论：一个是令人安心的，另一个则令人不安。令人安心的是：直接从制造商购买设备的用户不受此途径影响。令人不安的是：硬件钱包的安全性不仅取决于其技术本身，还取决于其在首次开机前经过了多少人之手。为了衡量设备的安全性，可以参考我们的硬件钱包对比指南，其中列出了常见型号及其供应链路线。

Ledger将所有确认案例追溯至一家东南亚零售商

根据Ledger自身的调查，所有确认的盗窃案件均来自通过东南亚零售商CryptoBilis销售的设备。Ledger支持团队于10月10日表示：“Ledger可以确认，一名受影响用户的设备中包含未经授权硬件植入物。”

Ledger表示尚未查明这些组件是如何进入设备的。对此并未对该零售商提出指控；CryptoBilis已在调查期间暂停了Ledger设备的销售和发货。此外，《The Record》报道了植入物的机制以及Ledger安全团队的评估。

MediaMarkt和Saturn暂停销售，CryptoBilis暂停发货

对于德国市场而言，这是具体的接触点。在德国报告一起设备篡改案件后，MediaMarkt和Saturn暂停了Ledger设备的销售，即便当时尚未确定德国案例是否与东南亚系列案件有关联。与此同时，Ledger收紧了对零售商的安全要求，并停止了在多个东南亚市场的授权销售。

在任何实体店购买设备的用户，其法律地位并不比遭遇其他产品缺陷时更糟。被篡改的设备被视为缺陷产品，索赔对象是卖家，而非制造商。

Ledger建议受影响买家采取的措施

厂商的指导方针区分了三种情况：

从CryptoBilis购买设备且尚未设置的：切勿设置，并联系支持团队。
已经设置的：立即将资产转移到新设备上，并使用新的恢复助记词。
已遭受损失的用户：在打开设备之前，应先联系执法部门，因为该组件是关键证据。

最后一点容易被忽视。被拆开的设备对调查的价值大打折扣，而用户自行查看内部结构的诱惑很大。

新加坡警方于10月28日报告另外两起案件

10月28日，新加坡警方报告了两起钱包受损案件，其中可能涉及拦截恢复助记词或私钥的组件。Ledger正在审查除上述案件外的其他报告，其中包括一起在新加坡机场购买设备的案例。目前尚未确认其与已知系列案件有关联。

是否会出现第二条线索尚不清楚。唯一可以肯定的是，三周过去了，案件不仅在报告数量上增加，涉案总额也在增长。

自我托管的终结：合规替代方案

此类案件也支持相反的结论。自我托管要求你控制整个供应链，从制造到设置。任何不愿承担此责任的人可以将托管权移交出去。在欧盟《加密资产市场法规》（MiCA）下，这应由获得授权并承担监管义务的提供商完成。

这种选择是有代价的，其名称为交易对手风险：你用设备的责任换取对公司的信任。没有绝对正确的答案，只有与资金规模及个人谨慎程度相匹配的选择。

行动建议

CryptoBilis Ledger盗取事件：3,044万美元位于已标记地址中

检查购买渠道：确认你的设备是通过何种渠道购买的，并保留收据。如果需要更换，请对比供应链路线，并从制造商或其指定的零售商处购买。
设立新钱包：如有任何疑虑，请使用新的恢复助记词设置一个新钱包，并将资产转移过去。对于过渡期或小金额，可参考软件钱包对比指南选择合适的应用程序。
理性决策：深思熟虑地决定你要自行持有多少资产。超出此部分的可交由授权提供商保管；相关标准请参阅受监管交易所的相关信息。

（截至2026年10月29日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文