安全事件

Ledger确认供应链攻击，称至少一台受影响用户设备含未经授权硬件植入物。摩根士丹利比特币总持仓升至10639枚，持仓价值约8.8亿美元。法国国民议会财政委员会通过稳定币兑换税及加密离境税修正案，后以31票对3票否决预算收入部分。

马来西亚一名男子的加密钱包疑遭入侵，损失约1,247万林吉特加密资产（约合305万美元）。霹雳州总警长称，受害者于10月9日下午发现一笔加密资产在未经其知情或同意的情况下被转走，初步调查显示相关交易通过区块链网络进行。警方正与商业罪案调查部加密货币专案组合作追踪资金流向并调查涉案人员。

PANews 10月11日消息，RippleX 工程负责人 J. Ayo Akinyele 表示，XRP Ledger（XRPL）支付引擎存在超 10 年的严重漏洞，可导致 XRP 超出固定供应量被增发。该漏洞通过漏洞赏金计划发现，尚未被利用；开发团队已发布 xrpld 3.4.1 修复版本，并在公开披露前协调验证者完成网络升级。Akinyele 称 AI 正加速漏洞发现速度，XRPL 将加大主动安全投入、清理技术债务并推进形式化验证。

硬件钱包厂商 Ledger 发文表示正积极调查相关安全报告，根据目前掌握的信息，资金被盗情况疑似仅限于通过东南亚分销商 CryptoBilis 售出的设备。Ledger 称目前没有迹象表明其安全基础设施、系统或服务受到侵害。

PANews 10月10日消息，Ledger 在 X 平台发文表示，根据目前可获得的信息，认为被盗资金仅限于通过东南亚地区名为 CryptoBilis 的经销商销售的设备，没有迹象表明 Ledger 的安全基础设施、系统或服务已被入侵。Ledger 称团队正在积极调查具体问题，如有疑问应通过官方渠道联系 Ledger 客户支持。

据 Lookonchain 数据，一名持币 8 年、此前未受攻击的用户遭遇资产被盗。该用户此前沉寂超过 4 年，一个月前更换至新钱包，随后新钱包中全部 59 枚 ETH（约合 14.68 万美元）被恶意软件 CryptoBillis Ledger 资产盗取工具（Drainer）盗取。

据Lookonchain监测，一名用户长期未动用的钱包因Ledger安全事件攻击损失59枚ETH，价值约14.68万美元。该旧钱包已安全存放超过8年，曾超过4年处于非活跃状态；一个月前用户将资产转移至新钱包后，攻击者随后窃取了其中全部ETH。

据Salus监测，Triple-A攻击者于10月9日通过单一钱包分56笔交易，将4970 ETH（约1240万美元）转入Tornado Cash。该黑客今年7月盗取支付服务商Triple-A自有金库资产，公开估算损失约1180万美元。

针对 Ledger 用户近期资产损失事件引发的硬件钱包安全担忧，OneKey 创始人 Yishi 称将升级“最后一厘米”防护，包括推出无需在设备屏幕显示助记词的备份流程，并优先加强主板内部敏感通信链路加密。Yishi 表示截至 10 月 10 日 OneKey 尚未收到用户因此事件导致资金损失的报告。

据 SlowMist MistTrack 估计，围绕马来西亚经销商 CryptoBillis 的 Ledger 硬件钱包供应链攻击损失已接近 9000 万美元，Tether 已开始冻结相关 USDT 地址。CryptoBillis 已暂停在马来西亚、菲律宾、印尼的全部硬件钱包销售与发货，并建议已激活 Ledger 设备的用户用全新助记词转移资产。

据 Salus 监测，加密支付服务商 Triple-A 的攻击者已将 4,970 枚 ETH（约 1,240 万美元）转入 Tornado Cash。该攻击者今年 7 月盗取 Triple-A 财库资产，公开估计损失约 1,180 万美元，资金经跨链桥接与代币兑换后于 10 月 9 日由单一钱包分批充值至 Tornado Cash。

据 Salus 监测，Triple-A 攻击者已将 4,970 ETH（约 1,240 万美元）转入 Tornado Cash，分 56 笔交易存入。该黑客今年 7 月盗取 Triple-A 自有金库资产，公开估算损失约 1,180 万美元；Triple-A 此前称事件未影响客户资金。

Tangem联合创始人Andrey Lazutkin在X发帖称，近期Ledger安全事件再次印证"复杂性扩大攻击面"这一安全工程原则，屏幕、按钮、电池、固件等每个额外组件都会引入新的故障点与漏洞。他据此为Tangem仅围绕安全芯片与天线构建的极简卡片式设计辩护，并称此次事件强化了其对该设计理念正确性的判断。

安全报告显示，XRP Ledger 支付路径中一个可追溯至 2015 年的漏洞，可能让攻击者几乎不出资就造出可花费的 XRP，冲击其固定供应规则。研究者于 9 月 22 日内部上报，RippleX 工程师复现攻击并确认新造 XRP 可被花费，但称未发现公共网络被利用的证据。修复已于 9 月 25 日在 xrpld 3.4.1 中交付。

从东南亚经销商 CryptoBilis 购买的 Ledger 设备遭供应链攻击，链上调查员估算损失超 8600 万美元，Bitquery 覆盖 311 个钱包估算约 9290 万美元。Ledger 于 10 月 9 日 13:32（UTC）确认调查并要求该渠道暂停销售发货，建议 90 天内购买者未初始化勿初始化、已初始化立即转移资产。

链上侦探 Specter 10 月 9 日称，多起 Ledger 用户钱包被盗，累计损失超 8600 万美元。Ledger 将线索指向经销商 CryptoBilis，要求其暂停销售发货，并建议过去 90 天经该渠道购机的用户暂勿初始化；CryptoBilis 已暂停马来西亚、菲律宾、印尼销售。攻击机制仍属技术推测，Ledger 尚未公布追回或赔偿安排。

10月9日，Ledger用户报告超9300万美元资产被盗，业内普遍归因于供应链攻击，Ledger将调查重点指向东南亚官方授权经销商CryptoBilis并要求其暂停销售发货。据YFarmX追踪，攻击者从7条链上471个地址转走约9340万美元，其中波场USDT损失约6998万美元、比特币网络损失1759万美元。目前尚无确凿证据表明经销商易主或间谍模块与本次盗币直接关联，最终原因仍待Ledger调查公布。

XRP Ledger 社区博客 9 日发布的报告称，Ripple 开发部门 RippleX 与 XRP Ledger 基金会已在 9 月 25 日公开的 xrpld 3.4.1 中修复了可非法生成 XRP 的漏洞。该漏洞源于支付引擎在一次支付中汇总多个 offer 时未检查合计上限，2015 年起便可能存在，超额合计会因溢出回落，差额部分的 XRP 被凭空生成。RippleX 在 9 月 22 日收到漏洞赏金报告后于本地复现并确认可将生成的 XRP 用于后续支付，将严重度定为「Critical」；报告称滥用可在一次已验证交易中生成远超 1000 亿 XRP 总供应量的代币，但未发现公开网络上的滥用证据。此次修复是该 amendment 投票机制引入 10 多年来首次刻意绕过该流程，公开当日默认信任列表中超过 80% 的验证者已运行 3.4.1 或更高版本。

XRP Ledger 修复了一个可追溯至 2015 年的严重漏洞，该漏洞或允许攻击者以极低成本凭空创建大量 XRP，突破 1000 亿枚供应上限。RippleX 已于 9 月 25 日发布修复版本 xrpld 3.4.1，并表示未发现公开网络遭利用的证据。

据 XRP Ledger 官方披露，xrpld 3.4.1 版本修复了一个支付引擎整数溢出漏洞，攻击者可凭数百个特制挂单与一笔支付凭空增发 XRP 并绕过不增发安全检查，增发量可远超总供应量。该漏洞或自 2015 年即存在，研究人员于 9 月 22 日通过漏洞赏金计划提交，3.4.1 版本于 9 月 25 日发布，目前未发现被利用迹象。