关于资金：CypherpunkGuide可能通过文中链接的购买指南获得推荐佣金。本文不含直接购买商品的联盟推广链接。本次分析未接受任何钱包厂商赞助。
硬件钱包保管的是授权转账所需的密钥。币的归属记录在相应网络上，币并不存放在设备内部。如果别人拿到了密钥，即使你让手中的设备始终离线，也无法阻止对方转走资产。
现在要先弄清三件事：设备从哪里购买，是否已经完成设置，以及是否还有资产面临风险。八种情况应对表区分了这些问题，也说明真伪检查能证明什么、不能证明什么。这张表来自我们对公开资料的分析，不是实机检查结果，也不是经过实际操作验证的资产恢复流程。
关于CryptoBilis的报告，目前能确认什么#
Ledger调查的是东南亚经销商CryptoBilis的购买者所报告的资产流失。这并不意味着所有Ledger设备都已遭到入侵。
10月9日，Cointelegraph报道了Ledger的警告，并采访了该公司。Ledger要求该经销商暂停销售和发货。当时，公司尚未对外确定原因、确认损失总额，也未公布受影响的客户人数。Ledger向媒体表示，没有收到涉及直销设备的损失报告，其自身基础设施、系统和服务也未遭入侵。这些是公司在调查期间的说明，不能当作对其他购买者安全状况的独立保证。
2026年10月10日，我们直接阅读了Ledger Support于10月9日发布的原始帖文全文，并核对了购买时间范围和预防措施。后续更新仍需查看Ledger的官方说明。
我们于10月10日查阅的Bitquery独立分析估计5个网络上的311个钱包合计损失9,290万美元，其中包括203.8 BTC。这些数字是该公司的估算，我们没有逐笔重新计算。钱包数量不等于人数，也没有独立证据证明全部分析对象都是CryptoBilis的购买者。交易模式不能确定密钥在哪里泄露；钱包的首次入账日期，也不能证明持有人何时购买了设备。
按购买记录和资产状态选择应对措施#
报道中的10月9日警告，适用于该警告发布前90天内从CryptoBilis购买设备的人。不在这一时间范围内，不能证明设备安全。购买渠道不明确时，应先核实记录，不要猜测。
| 你的情况 | 首先采取的行动 | 应避免的做法 |
|---|---|---|
| 属于报道中的警告范围，尚未初始化 | 停止设置和入金；保存购买记录，查看最新官方建议 | 使用卖家提供的助记词，或拆开设备后自行认定安全 |
| 属于报道中的警告范围，已初始化且钱包中仍有资产 | 考虑迁移至可信的新设备，使用新生成的助记词；核对接收端及恢复方式 | 在替换设备上恢复旧助记词，并以为密钥已经更换 |
| 已发生不明转出 | 保存交易ID、时间和购买记录；保护剩余资产，联系官方支持 | 为所谓的“诊断”继续转入资金，或向保证追回资产的陌生人付费 |
| 购买渠道或日期不明 | 自行查找官方渠道，核实发票和卖家身份 | 在声称能检查你是否受影响的网站上输入助记词 |
不要向客服人员、网站或通过消息联系你的人提供助记词、PIN码或附加口令。助记词是用于恢复钱包的一组单词；附加口令（passphrase）是助记词之外的另一项秘密信息。Ledger在钓鱼诈骗警告中说明了这类骗取秘密信息的手法。请自行从官方网站查找支持渠道；搜索广告或收到的消息不能证明对方身份真实。
Genuine Check通过后，仍有哪些事无法确定#
Ledger的Genuine Check真伪检查无法检测所有未经授权的物理改装。Ledger自己的安全文档说明，只要原有的Secure Element安全芯片保持完好，额外植入的窃密部件就可能避开这项检查。检查也无法核实设备在生产、流通和交付途中经历了哪些操作。
如果设备属于报道中要求暂勿初始化的范围，不要为了检查而开始设置。对不受这条“暂勿初始化”建议约束的设备，应使用正版软件完成厂商要求的检查，并理解检查的边界。检查通过、包装看似完好或小额试转成功，都不能证明没有其他人知道密钥。这一局限本身也不能证明，当前的损失由植入部件造成。
发现可疑之处，应停止使用并寻求官方指导，而不是看一眼内部就自行认定安全。拆解可能损坏设备或改变证据，初学者也未必能够识别改装。
应对密钥泄露，需要更换密钥而不只是设备#
用于恢复钱包的秘密信息如果可能已经泄露，在另一台设备上恢复它，仍会保留同样的风险。BIP39规范规定，相同的助记词和附加口令会生成相同的种子，也就是派生密钥的基础秘密。更换PIN码不会使这份种子失效。
要改用不同的密钥，需要在可信环境中生成一套新的钱包恢复信息，再把剩余资产转入新钱包。在旧种子下新增账户或收款地址，不能代替这一过程。
操作前，请确认以下事项：
- 独立于可疑设备，准备可信的接收端。 在那里生成新助记词并妥善保密。绝不要把新助记词输入可疑设备。
- 确认接收端支持相应资产和网络。 在可信的接收设备上核对完整收款地址；批准转账前，还要检查金额、网络和手续费。Sparrow的说明解释了设备屏幕核对的作用。可疑设备自己的屏幕，不能提供独立的安全保证。
- 确认如何恢复新钱包。 在保护好剩余资产、确认日后如何恢复钱包访问权限之前，不要清除旧设备。平时可按照到账、签名与恢复检查流程准备。
小额试转有助于发现收款目标错误，但不能证明设备或密钥未遭入侵。如果盗取仍在进行，强制等待一段固定时间可能让剩余资产继续暴露在风险中，因此本文不规定统一等待时间。具体转账步骤取决于设备、资产和网络。不要为了加快操作，把助记词上传到软件工具或网站。
资产已经转走时，先保留证据并保护剩余资产#
保存交易ID、发现时间、购买记录和相关消息，同时避免进一步泄露私人信息。敏感记录只应通过已核实的支持渠道或适当的官方报案渠道提交。公开发票可能暴露你的地址，也可能把真实身份与钱包活动联系起来。
通过Ledger官方支持网站联系公司；视具体情况，也可联系当地网络犯罪主管部门或相关交易所的已核实支持渠道。不要公开助记词、PIN码或附加口令，也不要私下把它们作为证据交给他人。美国联邦调查局（FBI）的资产追回诈骗警告说明，骗子会以帮助追回资产为名向受害者收费。如果对方保证返还资产，或要求预付费用，应停止交易。追踪到资产、冻结资产，都不等于已经返还资产。
增加防护时，也要确保自己能够恢复钱包#
核实购买渠道、保管秘密信息、检查转账内容，各自应对不同的问题。任何一项都不能保证硬件钱包绝不会遭到攻击。
选择能够核实的购买渠道，从厂商官方网站获取软件，拒绝使用卖家提供的助记词。不要拍摄备份、把备份存入云端或发给客服。Ledger的购买指南也承认供应链风险。如果继续使用已经泄露的钱包恢复信息，换一个品牌也无法消除这次泄露的影响。
附加口令与助记词结合，可以生成另一个钱包。Ledger的说明指出，设置附加口令不会自动把现有资产移入新钱包，而且你需要额外保管这项秘密。目前尚未证实，使用附加口令本可避免这次事件中的损失。
2-of-3多签钱包要求3把独立密钥中的2把授权，才能转出资产。它能减少对单一密钥的依赖，但也需要准备好钱包配置和恢复资料。不要在恐慌中第一次尝试复杂方案。SLIP39分片备份是另一种机制：分片用于恢复同一份基础秘密，并不是分别独立授权交易的密钥。
用应对表整理判断，不必记录秘密信息#
可下载的应对表列出8种情况，每种都包含行动、限制和依据。它不要求提供地址、余额、订单号或恢复钱包所需的秘密信息，只是帮助理解资料的工具，不是能够认证钱包安全的扫描程序。
常见问题#
这是否意味着所有Ledger设备都不安全？#
目前没有这样的结论。调查和报道中的警告针对CryptoBilis的购买者。某个销售渠道没有收到损失报告，不能证明该渠道售出的每台设备都安全。
别人知道我的助记词后，更换PIN码能阻止对方转账吗？#
更换PIN码不能阻止这种情况。PIN码保护的是你手中的特定设备；别人用泄露的恢复信息在另一处重建钱包，不需要这台设备的PIN码。如果你使用了附加口令，恢复该钱包还需要这项独立的秘密信息。
可以把助记词输入网站来检查是否安全吗？#
不要把真实助记词输入网站、聊天窗口或客服表单。本文及其应对表都不需要这些信息。恢复钱包或检查备份确实需要输入秘密信息时，应按照厂商文档中的流程，在你自己的可信设备上操作。
资料来源与更新记录#
本次分析于2026年10月10日核查。所查资料中，事件仍未有定论。应对表基于资料分析：我们没有检查可疑实物设备，也没有转移真实资金。我们于10月10日直接阅读了10月9日官方X声明的全文，并核对了购买时间范围和预防措施。后续更新仍需查看Ledger的官方说明。
