#安全事件

Ledger确认供应链攻击，称至少一台受影响用户设备含未经授权硬件植入物。摩根士丹利比特币总持仓升至10639枚，持仓价值约8.8亿美元。法国国民议会财政委员会通过稳定币兑换税及加密离境税修正案，后以31票对3票否决预算收入部分。

马来西亚一名男子的加密钱包疑遭入侵，损失约1,247万林吉特加密资产（约合305万美元）。霹雳州总警长称，受害者于10月9日下午发现一笔加密资产在未经其知情或同意的情况下被转走，初步调查显示相关交易通过区块链网络进行。警方正与商业罪案调查部加密货币专案组合作追踪资金流向并调查涉案人员。

PANews 10月11日消息，RippleX 工程负责人 J. Ayo Akinyele 表示，XRP Ledger（XRPL）支付引擎存在超 10 年的严重漏洞，可导致 XRP 超出固定供应量被增发。该漏洞通过漏洞赏金计划发现，尚未被利用；开发团队已发布 xrpld 3.4.1 修复版本，并在公开披露前协调验证者完成网络升级。Akinyele 称 AI 正加速漏洞发现速度，XRPL 将加大主动安全投入、清理技术债务并推进形式化验证。

硬件钱包厂商 Ledger 发文表示正积极调查相关安全报告，根据目前掌握的信息，资金被盗情况疑似仅限于通过东南亚分销商 CryptoBilis 售出的设备。Ledger 称目前没有迹象表明其安全基础设施、系统或服务受到侵害。

PANews 10月10日消息，Ledger 在 X 平台发文表示，根据目前可获得的信息，认为被盗资金仅限于通过东南亚地区名为 CryptoBilis 的经销商销售的设备，没有迹象表明 Ledger 的安全基础设施、系统或服务已被入侵。Ledger 称团队正在积极调查具体问题，如有疑问应通过官方渠道联系 Ledger 客户支持。

据 Lookonchain 数据，一名持币 8 年、此前未受攻击的用户遭遇资产被盗。该用户此前沉寂超过 4 年，一个月前更换至新钱包，随后新钱包中全部 59 枚 ETH（约合 14.68 万美元）被恶意软件 CryptoBillis Ledger 资产盗取工具（Drainer）盗取。

据Lookonchain监测，一名用户长期未动用的钱包因Ledger安全事件攻击损失59枚ETH，价值约14.68万美元。该旧钱包已安全存放超过8年，曾超过4年处于非活跃状态；一个月前用户将资产转移至新钱包后，攻击者随后窃取了其中全部ETH。

据Salus监测，Triple-A攻击者于10月9日通过单一钱包分56笔交易，将4970 ETH（约1240万美元）转入Tornado Cash。该黑客今年7月盗取支付服务商Triple-A自有金库资产，公开估算损失约1180万美元。

针对 Ledger 用户近期资产损失事件引发的硬件钱包安全担忧，OneKey 创始人 Yishi 称将升级“最后一厘米”防护，包括推出无需在设备屏幕显示助记词的备份流程，并优先加强主板内部敏感通信链路加密。Yishi 表示截至 10 月 10 日 OneKey 尚未收到用户因此事件导致资金损失的报告。

据 SlowMist MistTrack 估计，围绕马来西亚经销商 CryptoBillis 的 Ledger 硬件钱包供应链攻击损失已接近 9000 万美元，Tether 已开始冻结相关 USDT 地址。CryptoBillis 已暂停在马来西亚、菲律宾、印尼的全部硬件钱包销售与发货，并建议已激活 Ledger 设备的用户用全新助记词转移资产。

据 Salus 监测，加密支付服务商 Triple-A 的攻击者已将 4,970 枚 ETH（约 1,240 万美元）转入 Tornado Cash。该攻击者今年 7 月盗取 Triple-A 财库资产，公开估计损失约 1,180 万美元，资金经跨链桥接与代币兑换后于 10 月 9 日由单一钱包分批充值至 Tornado Cash。

据 Salus 监测，Triple-A 攻击者已将 4,970 ETH（约 1,240 万美元）转入 Tornado Cash，分 56 笔交易存入。该黑客今年 7 月盗取 Triple-A 自有金库资产，公开估算损失约 1,180 万美元；Triple-A 此前称事件未影响客户资金。

Tangem联合创始人Andrey Lazutkin在X发帖称，近期Ledger安全事件再次印证"复杂性扩大攻击面"这一安全工程原则，屏幕、按钮、电池、固件等每个额外组件都会引入新的故障点与漏洞。他据此为Tangem仅围绕安全芯片与天线构建的极简卡片式设计辩护，并称此次事件强化了其对该设计理念正确性的判断。

安全报告显示，XRP Ledger 支付路径中一个可追溯至 2015 年的漏洞，可能让攻击者几乎不出资就造出可花费的 XRP，冲击其固定供应规则。研究者于 9 月 22 日内部上报，RippleX 工程师复现攻击并确认新造 XRP 可被花费，但称未发现公共网络被利用的证据。修复已于 9 月 25 日在 xrpld 3.4.1 中交付。

从东南亚经销商 CryptoBilis 购买的 Ledger 设备遭供应链攻击，链上调查员估算损失超 8600 万美元，Bitquery 覆盖 311 个钱包估算约 9290 万美元。Ledger 于 10 月 9 日 13:32（UTC）确认调查并要求该渠道暂停销售发货，建议 90 天内购买者未初始化勿初始化、已初始化立即转移资产。

链上侦探 Specter 10 月 9 日称，多起 Ledger 用户钱包被盗，累计损失超 8600 万美元。Ledger 将线索指向经销商 CryptoBilis，要求其暂停销售发货，并建议过去 90 天经该渠道购机的用户暂勿初始化；CryptoBilis 已暂停马来西亚、菲律宾、印尼销售。攻击机制仍属技术推测，Ledger 尚未公布追回或赔偿安排。

10月9日，Ledger用户报告超9300万美元资产被盗，业内普遍归因于供应链攻击，Ledger将调查重点指向东南亚官方授权经销商CryptoBilis并要求其暂停销售发货。据YFarmX追踪，攻击者从7条链上471个地址转走约9340万美元，其中波场USDT损失约6998万美元、比特币网络损失1759万美元。目前尚无确凿证据表明经销商易主或间谍模块与本次盗币直接关联，最终原因仍待Ledger调查公布。

XRP Ledger 社区博客 9 日发布的报告称，Ripple 开发部门 RippleX 与 XRP Ledger 基金会已在 9 月 25 日公开的 xrpld 3.4.1 中修复了可非法生成 XRP 的漏洞。该漏洞源于支付引擎在一次支付中汇总多个 offer 时未检查合计上限，2015 年起便可能存在，超额合计会因溢出回落，差额部分的 XRP 被凭空生成。RippleX 在 9 月 22 日收到漏洞赏金报告后于本地复现并确认可将生成的 XRP 用于后续支付，将严重度定为「Critical」；报告称滥用可在一次已验证交易中生成远超 1000 亿 XRP 总供应量的代币，但未发现公开网络上的滥用证据。此次修复是该 amendment 投票机制引入 10 多年来首次刻意绕过该流程，公开当日默认信任列表中超过 80% 的验证者已运行 3.4.1 或更高版本。

XRP Ledger 修复了一个可追溯至 2015 年的严重漏洞，该漏洞或允许攻击者以极低成本凭空创建大量 XRP，突破 1000 亿枚供应上限。RippleX 已于 9 月 25 日发布修复版本 xrpld 3.4.1，并表示未发现公开网络遭利用的证据。

据 XRP Ledger 官方披露，xrpld 3.4.1 版本修复了一个支付引擎整数溢出漏洞，攻击者可凭数百个特制挂单与一笔支付凭空增发 XRP 并绕过不增发安全检查，增发量可远超总供应量。该漏洞或自 2015 年即存在，研究人员于 9 月 22 日通过漏洞赏金计划提交，3.4.1 版本于 9 月 25 日发布，目前未发现被利用迹象。

据阿拉巴马州证券委员会10月7日公告，28岁的Kuan Tsou因共谋加重欺诈盗窃及剥削老年人罪被判五年、实际服刑一年，须赔偿21.1万美元并被永久禁止进入该州证券行业。他在取走装有假30万美元的箱子时被捕；一名蒙哥马利居民在Instagram结识自称住纽约的女性后被引入冒用Bybit名义的假交易所，累计损失约27万美元，机构介入使损失未升至约60万美元。

XRP Ledger 修复了一个存在约十年的计数漏洞，由研究员 Cayden Liao 与 Veria AI 发现。RippleX 称，若不修补，攻击者可凭空创造新 XRP 出售，违反 1000 亿枚总量上限；公共网络未发现利用记录，补丁已于 9 月 25 日随 xrpld 3.4.1 发布。

XRP Ledger 修复了一项可追溯至 2015 年的支付系统漏洞，该漏洞或允许攻击者通过特殊设计的支付交易凭空生成并花费大量 XRP，破坏 1000 亿枚总量上限。研究人员于 9 月 22 日报告，RippleX 复现并确认，称无证据表明漏洞曾在公开网络被利用，9 月 25 日发布 xrpld 3.4.1 修复。

安全报告披露，XRP Ledger 存在约始于 2015 年的漏洞，攻击者可凭空创建大量 XRP 并花费，破坏 1000 亿枚固定上限。RippleX 于 9 月 25 日在 xrpld 3.4.1 版本中修复，称公共网络上未发现被利用证据。

Ledger 10 月 9 日称正调查东南亚部分用户资产丢失，出事设备均来自官方授权经销商 CryptoBilis，该公司 2026 年 3 月被收购、8 月 3 日起由一名中国黑龙江注册者全资持有。链上估算损失在约 7200 万至 9290 万美元之间，Ledger 未确认最终数字。分析称设备被加装间谍模块记录助记词，尚无独立第三方验证。

慢雾 CISO 23pds 推测 Ledger 硬件钱包可能遭 PCB 级供应链攻击：在屏幕数据线等总线上植入模块，被动录制助记词后经 LTE/eSIM 外传，因不触碰固件与安全元件，开机自检无法发现。Ledger 已就东南亚用户资金损失展开调查，问题设备疑与马来西亚经销商 CryptoBilis 有关，已要求其暂停销售与发货。

马来西亚 Ledger 授权转售商 CryptoBilis 疑遭供应链攻击，所售硬件钱包被指植入可窃取助记词的隐藏模块，调查仍在进行。该公司今年 3 月完成股权转让，8 月 3 日起由中国国民 Jiaming 全资持有，原股东已退出运营；目前尚无直接证据将所有权变更与安全事件关联。

慢雾首席信息安全官23pds解析称，若Ledger设备PCB确如Mark Karpelès所述被改装，攻击者可通过SPI等屏幕数据线路获取安全元件显示在屏幕上的助记词，再经LTE/eSIM外发；安全元件无法阻止外部模块读取屏幕显示内容。该分析以PCB确遭改装为前提，攻击路径及硬件植入情况仍有待独立验证。

据链上分析师余烬（@EmberCN）披露，一个钱包昨日从 Tornado Cash 收到 263 枚 ETH，卖出换成 64.3 万 USDC 并存入 Hyperliquid。该地址以 40 倍最高杠杆全仓在 83,068 美元价位开空 305.5 枚 BTC，仓位规模约 2538 万美元，清算价为 84,088 美元，目前浮盈约 16 万美元。

X用户exsiway称，涉事马来西亚Ledger授权经销商CryptoBillis今年春季已被原创始人出售，交易附带保密协议，要求10月19日前不得公开，但店铺及"Ledger授权"标识保留至今。CryptoBillis前团队成员此前亦称新管理层已接管，原团队需保密至10月19日；目前尚无官方证据将新所有者与被篡改设备直接关联。

据链上分析师 Onchain Lens 监测，与 9000 万美元 Ledger 转售商事件相关的黑客向 Binance 累计存入约 27.03 万美元，大部分资金已转入 Binance 热钱包。此前该黑客还通过 4 个钱包将 430.2 枚 ETH（约 107 万美元）存入 Tornado Cash 混币。

据 Yfarmx 记者 John Kamal 的链上分析，Ledger 相关疑似损失可能达 9340 万美元，涉及 471 个地址；Bitquery 独立调查则给出约 9290 万美元、311 个地址的数字。Ledger 与独立调查者尚未确认损失总额，也未确认前 Mt Gox CEO 记录的助记词截取硬件与本次损失存在确定关联。

Specter 称 X、Reddit 上出现多起 Ledger 硬件钱包用户资产被盗报告，追踪涉案地址发现以太坊、波场、比特币等多条链上数百个受害钱包资金流入，累计损失超 8600 万美元。CZ 提醒近期购买者警惕，称事件疑似针对单一供应商的局部供应链攻击，可能有少数用户买到假冒或被篡改设备。

一批 Ledger 用户报告钱包被清空，链上追踪估计损失 8600 万至近 9000 万美元。Ledger 称问题出在东南亚授权经销商 CryptoBilis 这一渠道，尚未确认设备被篡改，也无证据表明自家固件或全线产品被攻破。截至发稿，Ledger 已要求 CryptoBilis 暂停销售和发货，并建议过去 90 天内从该经销商购买设备的用户更换新设备和新种子，把旧种子当作已泄露处理。

Ledger经销商盗币案疑似黑客在Tether冻结相关资金后，正通过SUN.io及USDD的PSM将USDT兑换为USDD，部分资金已转入币安热钱包。Arkham标记的地址目前仍持有约7060万美元资产。

Ledger 正调查一系列用户资金损失事件，源头指向东南亚地区某分销商。多名用户报告从该地区分销渠道购买的硬件钱包出现资产被盗或无法访问，公司已警示可能受影响的用户核实设备安全。

据Lookonchain监测，一名用户约一周前从经销商CryptoBillis购买Ledger设备，并将全部80枚BTC存入，现已全部被盗。链上数据显示该笔BTC于9月29日存入，10月9日被转至此前分析师标记的盗币地址。该用户4个月前以约6.5万美元均价买入80枚BTC（约520万美元），一度浮盈138万美元。

据 Lookonchain 监测，多名从分销商 CryptoBillis 处购买 Ledger 硬件钱包的用户遭遇资产被盗，累计损失已接近 9,000 万美元。其中用户地址 TY24Ya 于 3 周前购入该钱包并存入 700 万枚 USDT，这笔资产已于约 10 小时前被全数盗取，可能为目前受害者中损失最高的一起个案。

据 Lookonchain 监测，购买 Ledger 硬件钱包的部分用户资金遭盗，相关设备均购自经销商 CryptoBillis，报告损失总额接近 9000 万美元。其中一名地址标记为 TY24Ya 的用户三周前购买相关设备并存入 700 万枚 USDT，约 10 小时前这笔资金被全部盗走，或为此次事件中单笔损失最大的案例。

链上追踪平台 MistTrack 表示，针对近期发生的 Ledger 被盗事件，Tether 正对多个关联涉案地址实施大额 USDT 冻结；据其链上统计，该事件已报告损失接近 9000 万美元。部分受损用户已与 MistTrack 取得联系，其安全团队正推进案件调查与协助工作。