马来西亚经销商篡改 Ledger Stax 植入 eSIM 芯片，导致观众助记词被截获、资产被盗，链上追踪全过程复盘与报案建议

分类：币圈热点更新于1793014255000收藏

大方BigFang
全球粉丝数：13.5万人

视频简介：本文复盘一位观众从马来西亚授权经销商购买 Ledger Stax 后资产被盗事件：设备疑似被植入 eSIM 通讯芯片，在生成助记词时截获并短信外传。作者协助完成链上追踪、证据固定及英文报案材料准备，并提醒用户勿泄露助记词、勿随意重置或退回设备。

本视频版权属“大方BigFang”所有,仅代表作者观点，不构成投资建议。

00:00 开场：资产转出记录与一位用户的求助
01:45 Ledger Nano X事件与供应链风险
04:45 求助者使用的竟然是Ledger Stax
06:39 CryptoBilis销售状态与官网经销商名录
08:10 核对购买经过与助记词保管方式
10:44 链上追踪：比特币被转到了哪里
12:56 追踪以太坊的转出记录
13:52 追踪波场USDT与资金归集地址
17:50 其他Ledger Stax拆机图片与疑似异常元件
19:46 我对Ledger的态度与授权渠道责任
23:19 协助整理报案材料与提交案件说明
23:56 遇到类似情况，怎样保留证据与寻求帮助

Ledger Stax 供应链安全事件：一位观众资产被盗的链上追踪

今天是创频以来录制视频时心情最沉重的一次。现在已是凌晨5:54，我整夜未眠，因为收到了一位推特观众的消息。他说自己也是这次 Ledger 安全事件的受害者，恳请我帮忙，甚至表达了极端的情绪。在认真倾听他的经历并协助他完成链上追踪后，确认他的 Ledger Stax 确实与之前曝光的 Nano X 一样，被植入了非法的通讯芯片。这篇文章将完整梳理这次事件的来龙去脉、链上证据以及我对此事的看法。

2026年冷钱包安全形势

2026年关于冷钱包的安全事故频发。既有从助记词生成那一刻起就不安全的硬件（如 coldcard），也有知名电商销售环节中的用户数据泄露。个人资料泄露虽然令人担忧，但通过掌握冷钱包安全知识可以规避——只要不透露任何助记词信息，资产就是安全的。我已经在频道中反复强调数百遍：不要把助记词告诉任何人。同时选择使用人数最多的头部冷钱包厂商，出问题的概率也会小很多。

Ledger 供应链攻击的演变

近期，我常提及的头部冷钱包厂商 Ledger 也出了问题。还记得我送大方嫂生日礼物时，从币安购买了一颗比特币，放入 Ledger Nano X 冷钱包作为礼物。前几天，这款冷钱包出现了供应链攻击。

所谓供应链攻击，并非产品本身出现问题，而是在销售环节或过程中发生的问题。之前多次发生过销售数据泄露、用户个人信息被泄露的事件，这些也属于供应链攻击范畴。因为掌握了个人资料，就可以向这些用户定点发送钓鱼邮件，骗取助记词。

而这次 Ledger 的供应链攻击发生在销售环节——硬件被添加了某些不该有的东西。

回顾大方嫂的那颗比特币，使用的是 Ledger Nano X。我一直说只要放入冷钱包、不把助记词告诉任何人、别人怎么骗也不要透露，资产就是安全的。但谁能想象，即使这样做了，几年后突然发现里面资产没了，会是怎样的懊恼？这次，事情果然发生了——当然不是发生在大方嫂那颗比特币的冷钱包中。

事件经过

推特上已经铺天盖地报道了这种安全事件。简单描述：有人在 Ledger 授权的经销商那里购买 Ledger Nano X，里面的比特币原本好好的，突然在10月9日这一天没有了。大批量被盗的报道集中爆发。有人拆开 Nano X 冷钱包，发现电路板上出现了不该有的元器件。

冷钱包有安全芯片保管助记词，任何人不可能破解，也不可能用宇宙级别的随机数撞库。这一点没错。但现实中，不怀好意的人用一个小小伎俩，就能让密码学保证安全的比特币资产变得不堪一击。

他们的做法是：在原本电路上安装一个类似窃听器的功能。冷钱包不能联网，助记词保管在芯片中，芯片经过多层加密和不同安全级别保护。但这些“聪明人”想：能不能装一个类似窃听器的装置？不是真的窃听，而是焊接一些通讯芯片，加上 eSIM（电信电话卡），植入固有程序。当24个助记词在屏幕上显示时，就可以捕获并第一时间通过 SMS 短消息发送给幕后操控者。甚至不需要激活设备、不需要破解安全芯片，只要数据出现，就通过 SMS 方式向远端发送短消息，就这么简单。

事件发酵几天后，我原本想讨论，但觉得大家都已知道这些资料。但恰好今天，一位推特上的小伙伴给我留言说：“大方，我也是受害者，你有没有时间连线一下？我真的想死了，你能不能帮帮我。”

我原本以为他是这次案件的受害者，拥有同样被植入芯片的 Ledger Nano X，打算晚上有空时连线，重述案件过程。但没想到他发来一张图片，我一看就知道，是我手中的这款 Ledger Stax。

Stax 是 Ledger 最高端、最贵的产品，也是世界上首款电子墨水屏冷钱包。它有非常好的外观设计、非常耐用的电量——使用墨水屏几乎没有开关机概念，充一次电可以用很久。它有 NFC，支持无线充电，在我来看几乎是一款无懈可击的冷钱包。

最初的判断与转变

听到这个消息，我的第一感觉是：现在曝光的安全事故是 Ledger Nano X。因为 Nano X 产品设计比较简单，电路板容易取出，里面焊上不该有的 eSIM 芯片是有可能的。但只要规避第三方渠道购买，这也是我频道一贯的宗旨，包括为什么这次安全事故中没有波及到我或频道观众。

这位观众是从第三方渠道——马来西亚的 CryptoBilis 购买的。直到这时，我仍然不相信 Ledger Stax 会被篡改，因为当时全网没有任何关于 Ledger Stax 或 Ledger Flex 被篡改的案件曝光，所有人猜测的都是长条形、两个按钮的 Nano X。所以我固有的概念是：这款产品不可能被更改，即使在同一家出问题的经销商那里购买也一样。

这家马来西亚经销商位于八打灵再也的门店已经关闭。但可笑的是，在 Ledger 官网的经销商名录页面中，选择马来西亚后，CryptoBilis 仍赫然在官方经销商名单中。点击它的官网，已经有一个大大的声明，大意是由于安全事故，Ledger 官方要求他们下架并停止销售 Ledger 产品。事实上，据网上报道，CryptoBilis 已完全处于关闭状态。我之前的推特中也列出过相关信息。

当这位观众说“真的想死”时，我第一时间安慰他：任何时间都不要放弃生命。我们先弄清楚到底是哪个环节出了问题。

与受害者的连线核实

其实说到这里，我仍先入为主，认为 Ledger Stax 被篡改的可能性不大，因为没有人曝光出来。我同意与他连线，无偿帮助他，因为我确实想搞清楚背后的原因——我大部分比特币也保管在 Stax 或 Ledger 产品中。尽管我最近已开始分散资产保管，包括 OneKey 等，但这次他同意的公开对话中，我希望核对几个关键证据。

我一开始仍先入为主，怀疑又是“马大哈”把助记词在某种情况下泄露了。但原原本本听他的倾诉后，发现他先讲述了过往故事：他曾经因为用了某个钱包，把助记词用微信截图，然后被盗。他也认了，知道是自己保管不力。因为任何电子截图都相当于向社会公开了这张截图，后台管理员随时可以查看上传图片或手机中的助记词。这就是为什么我一直说助记词只能手抄，不能暴露在摄像头下，不能保留在任何联网设备中，包括手机、邮件、记事本、微信等。

这位小伙伴也吃了大亏，损失上百万资金，教训足够深刻。他说自己在6月份到马来西亚旅游，了解到 Ledger 官网有马来西亚经销商。Ledger 官网确实还有地址，他加了该经销商的 WhatsApp 联系方式。他的 WhatsApp 联系人正是8262开头的号码，也就是现在官网上的联系电话，所以没错，他的联系人是正确的，并未遇到假经销商，确实就是这个经销商，而且是到门店拿货购买、当场付款。

我反复确认：你是用这台 Ledger Stax 生成助记词来保管的吗？不是从其他冷钱包导入的吧？我怀疑他从其他钱包导入了本身就不安全的助记词。他回答：“没有。我非常清楚知道应该怎样在离线的情况下手抄助记词，没有暴露给任何人。”他抄的助记词放在自己的保险箱里，也检查过摄像头，没有任何人接触过。

直到这时，我开始怀疑是否可能熟人作案。他说没有任何人接触过。我问他身边是否有人知道冷钱包、知道助记词如何使用，他回答没有。他非常坚定地告诉我没有泄露助记词。此时我还没有怀疑 Ledger Stax 可能被篡改，因为没有先例。

我说：别急，先保留证据。首先找到6月份购买冷钱包的付款凭证和发票，证明是在这个经销商购买的，锁定证据。同时截图 Ledger 官网页面，显示该经销商是官方认可的。至此他没有做错任何事，但价值50万美金的资产确实没有了。

链上追踪：比特币

我开始帮他锁定链上数据，追踪去向。我要求他提供比特币钱包地址，以及当初从币安购买后转入冷钱包的转账凭证。首先搞清币从哪里来、到哪里去。

通过链上追踪，我确认了：1.38329072 枚比特币是2026年7月30日从币安提取到这个比特币地址的。同时，7月30日从币安提取了15.62 枚以太币到这个地址。

在 OKLink 查这个比特币地址，可以看到目前余额为0，总共两笔交易：

首次接收：7月30日 10:12:26，从币安到账
第二笔：10月9日 1:54，从该地址转出，扣除手续费后 1.38 多枚比特币

链上追踪：归集地址

继续追踪，点进目标地址（49DL 结尾），看到它目前持有 92 枚比特币，价值 700 万美金，总共 79 笔交易。首次接收时间正是网络上大部分 Ledger 钱包被转出的时间——10月9日 13:54:20。

下面是所有74笔交易的详细记录：0.02、0.001、0.013、0.004、0.16……这个钱包地址比较惨，有10颗比特币被转过来。注意这些数据都发生在 1:54:20，这三笔发生在同一个秒数，都是在 54分20秒。0.15 颗、0.9 颗、1.11 颗也是在20秒，就在同一秒发起攻击，从不同钱包地址全部归集到 49DL 结尾的目标地址。

最惨的是 19.99 枚比特币，来自两个地址，也是这个 49DL 结尾的地址，分了两次，10 枚比特币转到 49DL 里面来。

链上追踪：以太坊

这位受害者小伙伴在7月30日提领了 15.62 枚以太坊到自己的钱包地址。仍旧可以用 OKLink 查询，选择全部网络，把以太坊链（ERC20）地址放进来。因为地址是 0X 开头，选择以太坊或全部链时会默认。最早一笔是10月9日下午2点36分，从 96C5 地址转移到 7841 目标地址。从9号到11号，他转了这么多笔，每次约14个以太坊。现在基本上已被清空，以太坊链总资产只有 4.95 美金。

链上追踪：波场链（TRON）

他还提供了一个 TRON（波场链）地址。在 OKLink 的 Web3 数据浏览器中选择全部网络，把 T 开头的波场链地址输入进来。可以看到波场链总资产也基本没有了，只有 0.9 美金。

查看交易记录，选择“代币转账”后，可以看到从10月9日1点钟开始，以及6月12号、7月4日、9月10日、9月14日的记录。这位小伙伴在12号这天转了几笔：5,890、11万 USDT（68,800 USDT）。7月4日和9月10日、14日的几笔是他自己转的，但到10月9日 1:45:15，被转到了 NSW 结尾的目标地址，共 52,960 USDT。

他还提供了另一个 ODP 结尾的钱包地址，同样在代币转账中可见：6月13日、18日、7月20日、7月30日分四笔转入 1,000、8,000、10万，7月30日和8月18日分别转出2万和5万。这些有进有出都是他自己操作的，但最后一笔在10月9日 13:40:15 被转出 59,784 USDT。

两个钱包地址累计转出 11万多 USDT，都同时转入了 NSW 结尾的目标地址。

黑客地址的资金去向

再追踪这个疑似黑客地址，看到代币转账记录：10月9日总共只有两页。

10月9日 1:40:15，59,784 USDT —— 这位小伙伴是第一个被转的地址
随后陆续有其他受害者：第二笔 59,784 USDT（是这位小伙伴的地址），后面还有其他受害地址
其中一笔是 9,000 多
最大的一笔是 1,395,477 USDT（100多万 USDT 一单被转移过来）

如果屏幕前的小伙伴拥有这个钱包地址，可以在下面留言。

上面还有 2万多、41万、4万多，基本都发生在10月9日 13:40。

到下午 1:46 开始，他往 Hifi Swap 转移了：40万、50万、50万、30万、30万、14万、20万、739,000……最后一笔转出 108万。其中部分转出到 Hifi Swap，这是一个加密货币的跨链兑换服务，也有稳定币。刚才看到的以太坊也与此相关。

至此，这位小伙伴的三个主要币种都做了去向追踪。从链上数据发现，这绝对不属于熟人作案——因为熟人作案不可能精确找到那么多巨额资金，全部汇集到一个钱包地址。从时间判断，10月9日1点钟集中爆发的阶段，他就是主要受害者之一。

我们至此有充分证据表明：Ledger Stax 与 Ledger Nano X 性质相同，装了类似窃听器的 eSIM 通讯虚拟手机卡，向幕后黑手发送助记词。

设备拆机验证

我建议他打开 Stax 充分证明。他保留证据，想在适当时候打开。我也在网上查了一下，就在我调查过程中，有人已在21分钟前将他的 Stax 拆开了。

这是一张放大图，这里就是可疑芯片，本身不应该有的。放大后可以看到属于 nRF9151，它是一个 LTE 4G 调制解调器，在 Ledger Stax 里面本不应该有。在主板中位于这个位置（图中显示清楚）。这里是一些无线充电线圈，正常。在电池这边，多了两条连接线，这也是不应该出现的。

所以至此，我非常肯定：这位小伙伴如果他提供的钱包地址没有作假，一旦打开 Ledger Stax，就应该是这样一个情况。最终是否如此，仍需后续追踪确认。

这是他发给我的截图：与 CryptoBilis 的对话（8262 是官网客服电话）、他拍的 Ledger 图片（让我非常震惊）、以及他与经销商的对话——他发的地址在八打灵再也，具体地址都有。

排除授权攻击可能

我之前还怀疑这些钱包地址是否被点击过授权（恶意授权可转出最大资金的可能）。最终我查下来，这些资金转出都不是通过代币授权的扣款方式，账户权限只指向地址本身，历史记录中没有发现账户权限修改和 approve 授权调用。所以排除了本人在不知情的情况下签署交易的可能性。

我对 Ledger 的态度

我想讲清楚我对 Ledger 的看法。我开箱过几乎 Ledger 的所有产品，包括 Ledger Nano X、Stax、Flex。我有最新款的 Ledger Flex 和 Ledger Stax 这三款高端产品。这次受害者受伤害的，恰恰是它最高端、带弧度的电子墨水屏产品。

我开箱过几乎所有 Ledger 产品，非常认可这些产品在体验上的进步。我甚至认可 Ledger 官方的 Ledger Recover 恢复助记词尝试用三方分片备份技术提供安全恢复助记词服务的创新方向。用户需要理解，Ledger Recover 服务是以用户信任为前提的，只有开通这个服务才会有，需要支付 9.9 美元的月度使用费。

包括我自己，到拍摄这段视频当下，大部分比特币仍由 Ledger 设备生成的助记词保管。当然从 Ledger App 里查看钱包，我的资产目前是安全的。前提是：我的助记词，包括频道一贯宗旨，拒绝任何第三方销售渠道，即使 Ledger 官方网页中认可的销售渠道商，不在我考虑范围之内。所以这是我目前资产安全的前提保障。

因此可以说，以我目前实际情况来看，Ledger 官方发售的产品（包括 Nano X、Flex、Stax）是原生的、未经任何篡改的产品，没有发现助记词泄露的情况。

但现在曝光的所有案件都直接指向 Ledger 官方认可的马来西亚经销商。同样出现了与 Ledger Nano X 一样的情况：Ledger Stax 也被添加了通讯芯片的监听功能。

作为普通用户，看到品牌官网列出的经销商，通常认为这个渠道经过官方认可、可以信任。品牌方确实应该认真对待这份信任。如果取证确认设备在经销商交付给消费者时已被篡改，我认为 Ledger 需要解释授权渠道的货品管理、异常设备如何进入销售环节、发现问题后如何保护和协助用户。

设备交付时已被改装，与消费者收到正常设备后被他人改造，完全是两个不同性质。我的观点是：Ledger 对官方授权销售体系的管理，以及事件发生后的调查与用户支持，负有完全不可回避的责任。具体法律责任、赔偿范围及连带责任，需要证据和适用法律来判断。

给受害者的建议与行动

我对这位观众说过，他需要将能掌握的所有证据——包括购买凭证，充分证明是在授权经销商购买的产品——并在第三方公证情况下打开设备，锁定技术证据。以及我们刚才做的链上调查截图。

我的频道对购买渠道的观点一直没变：这也是为什么我的资产能幸免的保障，就是拒绝任何第三方销售渠道去购买这个能保管数百万、上千万资产的特殊产品。

目前我协助这位小伙伴准备了完整的英文报案说明，以及向 Ledger 说明这次案件情况，希望推动 Ledger 客服和安全调查团队备案。这位小伙伴在发现损失后马上飞到马来西亚，尝试去警局报案。但直到今天凌晨，警局还没有正式受理，可能需要更高阶层的警员介入，需要把整个购买经过、日期、金额、地址、交易编号都讲清楚，才能取得报案档案编号。

给所有遭遇类似情况的人的忠告

屏幕前的小伙伴，如果你有同样情况，不要随意重置这台设备，包括升级、拆机或直接退回商家，都要谨慎考虑。也不要因为急于追回资产，把助记词交给警局探员或相关技术人员，包括我——你不需要把你的助记词给我。所有这些调查都可以通过公开地址进行查询，整理材料中也不需要用得到。

行业反思与其他厂商

这位观众已付出很沉重的代价。他想从过去的错误中学到如何保管资产，也愿意花钱购买目前最贵的硬件冷钱包。按照他的描述，他非常努力遵循助记词生成和保管原则。目前看来，我们不认为他有任何错误。他现在需要有人支持他。

我希望屏幕前的小伙伴，如果在力所能及范围内能给他一些帮助——比如我无法承诺帮他追回资产，我能做到的是帮他整理证据、继续追查。如果你有设备取证、链上追踪和案件处理的经验，并且愿意提供帮助，请给我们具体的可靠建议：比如哪些材料缺失、怎样保存设备、锁定证据、怎样把线索交给能够调查的人。这些都非常有用，也是对这位小伙伴最有利的支持。

同样，其他有类似困扰的小伙伴，你也可以直接联系我，帮你分析属于哪种情况。