Ledger Stax也疑似遭篡改？一台被动手脚的冷钱包，让我一夜没睡

一位 Ledger Stax 用户向我求助：他表示，自己从 Ledger 官网列出的马来西亚经销商 CryptoBilis 购买设备，使用设备生成助记词并手抄保管，后来却发现钱包里的资产被转走。

我和他核对了购买经过、助记词的生成及保管方式，并根据他提供的公开地址，追踪了比特币、以太坊和波场链上 USDT 的资金去向。本期会展示这些查询过程，以及为什么这起案例让我开始怀疑设备可能遭到篡改。

这也留下了几个需要回答的问题：异常设备如何进入销售环节？品牌怎样管理授权渠道？用户遭遇损失后，应该怎样保存设备、整理证据，并推动调查？

截至本片录制时，这位用户的 Stax 尚未完成独立拆机取证。影片涉及的个人经历来自当事人陈述；链上转账记录、其他案例的拆机图片和对攻击方式的推断，需要分别看待，具体原因与责任仍待进一步调查。

如果你有设备取证、链上追踪或相关案件处理经验，欢迎提供具体、可靠的建议。请勿在评论区公开助记词、私钥、订单或个人身份资料。

00:00 开场：资产转出记录与一位用户的求助
01:45 Ledger Nano X事件与供应链风险
04:45 求助者使用的竟然是Ledger Stax
06:39 CryptoBilis销售状态与官网经销商名录
08:10 核对购买经过与助记词保管方式
10:44 链上追踪：比特币被转到了哪里
12:56 追踪以太坊的转出记录
13:52 追踪波场USDT与资金归集地址
17:50 其他Ledger Stax拆机图片与疑似异常元件
19:46 我对Ledger的态度与授权渠道责任
23:19 协助整理报案材料与提交案件说明
23:56 遇到类似情况，怎样保留证据与寻求帮助

#Ledger #LedgerStax #冷钱包 #硬件钱包 #加密资产安全

文字版：

一台被动手脚的冷钱包，让我一夜没睡

今天这期内容，我心情很沉重。这可能是我创频道以来，录影时心情最沉重的一次。现在是凌晨5点54分，我一个晚上没睡。

大家知道，我这频道很大一部分内容是关于冷钱包的。2026年，冷钱包确实发生了非常多的安全事故：有从助记词生成那一刻就不安全的 Coldcard，也有知名电商销售环节中用户数据泄露的。个人资料泄露其实问题不算大，因为只要你不把助记词告诉任何人，资产就是安全的——这话我说了几百上千遍。但最近我讲得最多的冷钱包厂商 Ledger，也出事了。

从一份生日礼物说起

大家记得我给大方嫂过生日那期影片吗？我把一颗比特币从币安买出来，放进 Ledger Nano X 冷钱包，送给她当生日礼物。前几天，就是这款冷钱包出现了供应链攻击。所谓供应链攻击，不是产品本身出问题，而是销售环节出了问题。比如之前 Ledger 也发生过的销售数据泄露，用户个人信息被拿去定点发送钓鱼邮件、骗取助记词——这属于供应链攻击的一种。而这一次，是在销售环节中，硬件被加上了不该有的东西。

你可以想象：我一直说，只要放进冷钱包、不把助记词告诉任何人，资产就是安全的。但如果我们这么做了，几年后忽然发现里面的资产没了，那会是怎样一种懊恼的心情？这次，这种事真的发生了。

受害者找到我：他说他真的想死了

事情在推特上已经铺天盖地。简单说，有人在 Ledger 授权的经销商那里买到 Ledger Nano X，里面的比特币原本好好的，突然有一天就没了。10月9日这天，大批量出现了被盗报道。有人拆开 Nano X，看到电路板上出现了不该有的元器件。

冷钱包本来有安全芯片保管助记词，任何人不可能破解，也不可能靠撞库或宇宙级别的随机数去猜。但现实中，不怀好意的人用一个小伎俩，就能让密码学保证的安全变得不堪一击——他们在电路板上装了一个类似窃听器的功能。不是真的窃听，而是焊接上通讯芯片，加上 eSIM，植入固有程序，把你每一次在屏幕上显示的24个助记词捕获下来，第一时间用短信发给幕后操控者。他甚至不需要激活你的设备，不需要破解安全芯片。

事件发酵几天，我本来不想谈，因为大家都知道了。但今天为什么我心情特别沉重？因为一位推特上的小伙伴给我留言：“大方，我也是受害者，你有没有时间连线一下？我真的想死了，你能不能帮帮我。”

我原本以为他就是这次 Nano X 案件的受害者。但他发来一张图片，我一看就知道——那是我手上的 Ledger Stax。这是 Ledger 最高端、最贵，也是世界上首款电子墨水屏冷钱包，外观设计好、电量耐用、有 NFC、有无线充电，在我看来简直无懈可击。我的第一反应是：现在爆出来的事故是 Nano X，那款设计简单、电路板好拆，被焊上 eSIM 芯片是有可能的。但 Stax？全网没有任何 Stax 或 Flex 被篡改的案件爆出来，所有人猜测的都是 Nano X。所以我固有的概念是：这款产品不可能被篡改。

这位小伙伴是从第三方渠道买的，马来西亚的 CryptoBilis。直到这时我还是不相信 Stax 会被篡改。但他说他真的想死，我肯定第一时间安慰他：任何时间都不要放弃生命，我们先弄清楚到底哪个环节出了问题。我同意无偿连线帮他，因为我也想把背后原因搞清楚——我的大部分比特币也保管在 Stax 或 Ledger 产品里，尽管最近我已经开始分散保管，包括 OneKey。

核对证据：他没有做错任何事

我一开始先入为主，怀疑是不是又是个马大哈泄露了助记词。但他先讲了自己过往的故事：他曾用某个钱包，助记词用微信截屏，然后被盗了，上百万资金没了。他认了，那是自己保管不力。任何电子截图都相当于向社会公开，背后的管理员随时可以查看你上传的图片。这也是为什么我一直说：助记词只能手抄，不能暴露在任何摄像头下，不能留在任何联网设备里，包括手机、Email、记事本、微信。

他说，6月份去马来西亚旅游，了解到 Ledger 官网有马来西亚经销商，就加了 WhatsApp 联系方式——就是官网上那个 8262 的电话。他没遇到假经销商，确实是这个经销商，而且是到门店拿货、当场付款。我反复确认：你是用这台 Stax 生成的助记词吗？不是从其他钱包导入的吧？他说没有，他清楚知道应该在离线情况下手抄助记词，没有暴露给任何人，助记词放在自己保险箱里，也查了摄像头，没人接触过。我问他身边有没有人懂冷钱包、懂助记词，他说没有，非常坚定地告诉我没有泄露。

这时我开始怀疑会不会是熟人作案，但他否认了。我还没有怀疑 Stax 被篡改，因为没有先例。我说别急，先保留证据：找到6月份购买的付款凭证和发票，证明是在这个经销商买的；截屏官网上的经销商页面——你至此没有做错任何事，但价值50万美金的资产确实没有了。

链上追踪：这不是熟人作案

我开始帮他追踪链上数据。他提供了比特币钱包地址和从币安转入冷钱包的转账凭证。

在 OKLink 查这个比特币地址：目前余额是0，总共两笔交易。首次接收是7月30日10点12分26秒，1.38329072枚比特币从币安提领到这个地址；同一天还从币安提领了15.62枚以太币到同一个地址。第二笔是两天前，也就是10月9日1点54分，全部1.38多枚比特币（扣除手续费后）被转出到目标地址。

点进目标地址：目前有92枚比特币，价值700万美金，总共79笔交易。首次接收时间正是网络上大部分 Ledger 钱包被转出的时间——10月9日13点54分20秒。下面74笔交易详细记录：0.02、0.001、0.013、0.004、0.16……有个地址比较惨，10颗比特币被转过来；1点54分，这些数据都发生在20秒内，好几笔都在54分20秒同一秒发起攻击，从不同钱包地址全部归集到这个49DL结尾的目标地址。最惨的一笔19.99枚比特币，分两次各10枚转进来。

再看以太坊：他7月30日提领15.62枚以太坊到自己的钱包地址。在 OKLink 选择全部网络、ERC20 链查询：最早一笔是10月9日下午2点36分，从96C5地址转到7841目标地址；从9号到11号转了很多笔，每次14个以太坊，现在基本清空，以太坊链总资产只剩4.95美金。

他还提供了波场链地址。在 OKLink Web3 浏览器选择全部网络，输入 T 开头的波场地址：全链总资产基本没了，只有0.9美金。看代币转账：10月9日1点，从6月12日买冷钱包开始，他转了5,890、11万 USDT、68,800 USDT 等几笔；7月4日和9月10日几笔是他自己转的；但到10月9日1点45分15秒，52,960枚被转到 NSW 结尾的目标地址。另一个 ODP 结尾的钱包地址，6月13日、18日、7月20日分四笔转入1,000、8,000、10万，7月30日和8月18日分别转出2万和5万，这些都是他自己操作的；直到最后一笔10月9日13点40分15秒被转出59,784。两个钱包累计转出11万多 USDT，都同时转入 NSW 目标地址。

追踪这个疑似黑客的目标地址：10月9日代币转账只有两页。1点40分15秒的59,784是我们这位小伙伴，他是第一个被转的地址；然后陆续有其他受害者，第二笔也是59,784；后面还有9,000多、1,395,477——如果屏幕前小伙伴是这个钱包地址，可以留言，这是目前我看到最大的一笔，100多万 USDT 一单被转走。还有2万多、41万、4万多，基本都发生在10月9日13点40分。到下午1点46分开始，他往 Hifi swap 转移：40万、50万、50万、30万、30万、14万、20万、739,000，最后一笔转出108万。Hifi swap Group 是一个加密货币跨链兑换服务。

至此，三个主要币种都做了去向追踪。从链上数据看，这绝对不属于熟人作案——熟人不可能精确找到那么多巨额资金，全部汇集到一个钱包地址，而且时间上10月9日1点集中爆发，他就是主要受害者之一。

拆机证据：Stax 也被装了通讯芯片

至此我们充分有证据表明：Ledger Stax 和 Nano X 属于同样性质，被装了类似窃听器的 eSIM 通讯虚拟手机卡，向幕后黑手发送助记词。

我建议他打开 Stax 充分证明，但他想保留证据，在适当时候再打开。而在我调查过程中，有人已经在21分钟前把自己的 Stax 拆开了，想核实主板有没有被安装不一样的东西。放大图显示：这里有一颗可疑芯片，本身不应该有——nRF9151，一个 LTE 4G 调制解调器，在 Ledger Stax 里不该出现；位置在主板这个位置；电池这边还多了两个不该出现的连接线缆。所以至此我非常肯定：如果这位小伙伴给的地址没有作假，他一旦打开 Stax，就应该是这样一个情况。最终是不是这样，还需要后续追踪。

我的态度：Ledger 负有不可回避的责任

到这里，我想讲清楚我对 Ledger 的态度。我开箱过几乎 Ledger 所有产品——Nano X、Stax、Flex，我非常认可这些产品在体验上的进步，甚至认可 Ledger Recover 用三方分片备份助记词的创新方向（当然，这个服务以用户信任为前提，开通才有效，还要付9.9美金月费）。目前我的大部分比特币仍由 Ledger 设备生成的助记词保管，从 App 观察钱包看，我的资产目前是安全的。前提是：我的助记词，包括频道一贯的宗旨，是拒绝任何第三方销售渠道——即使是 Ledger 官网认可的经销商，也不在我的考虑范围之内。这就是我资产安全的前提保障。

所以可以说，以我目前实际情况看，Ledger 官方发售的产品——Nano X、Flex、Stax——是原生的、没有经过篡改的，没有发现助记词泄露。但现在暴露出来的所有案件，都直接指向 Ledger 官方认可的马来西亚经销商，同样出现了和 Nano X 一样的情况：Stax 也被添加了通讯芯片的监听功能。

作为普通用户，看到品牌官网列出的经销商，通常认为这个渠道经过官方认可、可以信任。品牌方确实应该认真对待这份信任。如果取证确认设备在经销商交付给消费者时就已经被篡改，那 Ledger 需要解释：授权渠道的货品是怎么管理的？异常设备是怎么进入销售环节的？发现问题后又是怎么保护和协助用户的？设备交付时已被改装，和消费者收到正常设备后被他人改造，完全是两个不同性质。我的观点是：Ledger 对官方授权销售体系的管理，以及事件之后的调查和用户支持，负有完全不可回避的责任。具体法律责任、赔偿范围和连带责任，需要证据和适用法律来判断。

给受害者的建议，也给屏幕前的你

我对这位观众说：把你能掌握的所有证据——购买凭证、证明你是在授权经销商买产品的充分证据——在第三方公证下打开设备，做技术证据锁定，再加上我们做过的链上调查截图。

我也协助他准备了完整的英文报案说明，并向 Ledger 说明案件情况，希望推动客服和安全调查团队备案。他发现损失后马上飞来马来西亚报案，但直到今天凌晨警局还没有正式受理，可能需要更高阶警员介入，需要把购买经过、日期、金额、地址、交易编号都讲清楚，才能取得报案档案编号。

屏幕前小伙伴，如果你有同样情况：不要随意重置设备，不要升级、拆机或直接退回商家，都要谨慎考虑；也不要因为急于追回资产，把助记词交给警局探员、技术人员，包括我——你不需要把助记词给到我，所有调查都可以通过公开地址查询，整理材料也用不到。

这位观众已经付出了很沉重的代价。他想从过去的错误里学到怎么保管资产，也愿意花钱买目前最贵的硬件冷钱包，按他的描述，他非常努力地遵循助记词生成和保管原则。目前看来，我们不觉得他有任何错误。他现在需要有人支持他。屏幕前小伙伴，如果你在力所能及范围内，可以给一些帮助：我无法承诺帮他追回资产，我能做的是帮他整理证据、继续追查。如果你有设备取证、链上追踪和案件处理经验，愿意提供帮助，请给我们具体可靠的建议——哪些材料缺失、怎么保存设备锁定证据、怎么把线索交给能调查的人，这些都非常有用。

其他有类似困扰的小伙伴，也可以直接联系我，我帮你分析到底属于哪种情况。

最后

我想补充一点：其他冷钱包厂商现在应该也瑟瑟发抖。因为 CryptoBilis 不仅代理 Ledger，它能在 Ledger 设备上安装截取助记词的通讯芯片，同样有能力用同样方法在其他设备上安装。如果你是钱包厂商，你会怎么处理这个问题？值得业内共同考虑。

我也会继续等待 Ledger 的回复，以及他们对受影响用户的处理安排，有最新消息会在这边更新。

现在天已经亮了。我希望这位兄弟能平安度过这一夜，好好睡一觉，第二天太阳会仍旧升起。我也希望 Ledger 能扛过这一关，用担当重新争取大家的信任。

最后再次重申：区块链领域荆棘密布，做任何投资前一定要量力而为，用亏得起的钱来进行新技术的探索和投入。我是大方，我们下期再见。