2026年硬件钱包安全事件盘点：Ledger遭篡改致近9000万美元损失

2026 年已有六大硬件钱包品牌披露安全漏洞，但实际造成用户加密资产损失的案例仅有两起。最新一起涉及 Ledger，其设备在到达用户手中前已被篡改。

硬件钱包通过离线存储 24 个英文助记词，将用户的加密资产密钥与互联网彻底隔离。今年，攻击者几乎针对围绕助记词的每一个环节展开攻击。

密钥弱点、激光破解与数据泄露：2026 年硬件钱包厂商集体中招

7 月 30 日，黑客开始盗取 Coldcard 钱包资产，原因在于部分密钥生成过程中随机性不足。Galaxy Research 后续表示，Coldcard 遭窃金额已超 1.15 亿美元。

Ledger 内部安全团队分别于 6 月及 7 月利用激光设备攻破了 Trezor Safe 7 和 Tangem 卡片芯片，这类攻击要求研究人员实体持有设备，并借助专用实验室仪器完成。

Trezor 回应称用户资产依然安全。Tangem 则表示日常用户基本无风险，并强调这项攻击研究来自竞争厂商的工程团队。

8 月，BitBox 修复了其工程师自查发现的多项重大固件漏洞，截至目前未报告用户资产被盗。

此外，还有事故涉及用户数据而非资产密钥。Trezor 的物流合作方泄露了 13,689 名买家的信息，SafePal 数据泄露事件则波及近 40,000 个家庭住址。

2026 年六大硬件钱包品牌曝出安全风险

“2026 年或将成为硬件钱包安全事故最为频发的一年，”Wise Advice 评论称。

Ledger 被篡改钱包事件波及亚洲以外地区

Ledger 于周六证实，已有用户购买的设备存在未经授权的硬件植入。周日的最新进展显示，所有已确认案例均涉及马来西亚经销商 CryptoBilis。

72 hour update on reseller CryptoBilis incident 🔽

As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.…

— Ledger (@Ledger) October 11, 2026

链上分析师估计，损失金额接近 9 000 万美元。此前有一名用户在设备启用数日后，损失了 80 枚比特币。Ledger 官方尚未披露总体受损数据。

CryptoBilis 已暂停硬件钱包销售。两位前联合创始人在 LinkedIn 上表示，已于 3 月将公司交由新东家经营。

另有用户反映，自己数周前在欧洲官方渠道购买的 Ledger 钱包在产品外观和封装上无异常，但其真实性却存在疑问。Ledger 目前尚未证实除 CryptoBilis 以外的相关案例。

硬件钱包厂商建议用户怎么做？

Ledger 建议用户仅在其官网或官方授权渠道购买硬件钱包。针对此次事件，Ledger 还建议从 CryptoBilis 购买的用户，切勿启用未使用设备，资金应立即迁移至新创建的助记词下。

Ledger 的 Genuine Check 工具可验证设备安全芯片的真实性，但无法检测所有针对芯片本体以外的物理篡改。

BitBox 提醒用户及时安装固件更新，且仅在设备本机输入助记词。Trezor 则表示，钓鱼攻击依然是日常更常见的风险。

Ledger 同时呼吁其他硬件钱包厂商，共同制定防篡改与产品流转的行业标准。

那么，2026 年，是否还有真正绝对安全的硬件钱包？ 答案仍是否定的。尽管今年暂未有安全芯片被实验室外破解，但包括 Coldcard 和 Ledger 在内，用户依然因密钥安全薄弱或设备被篡改而资金受损。