Ledger已确认，在东南亚经销商CryptoBilis售出的至少一台设备中存在未经授权的硬件植入物。该公司周一发布的声明称，这台受损设备与该经销商处的加密货币损失有关。Ledger表示，已确认的植入案例数量有限，其内部系统未受影响。
CryptoBilis实际售出了什么
CryptoBilis作为东南亚地区的经销商，向该区域客户销售Ledger硬件钱包。此次事件的核心是一台单独的设备——不是一批产品，也不是从生产线上撤下的一批货。Ledger的措辞是经过斟酌的：“至少一台设备”，“已确认案例有限”。这并不等同于说只有一台。这意味着公司目前核实了一台，且不排除有更多。
与该设备相关的损失是加密货币损失，意味着某人的币已经不见了。Ledger尚未公布具体数字，现阶段也不清楚受影响客户损失的是少量还是大量。明确的是，植入物并非来自Ledger自身的制造环节——它是在工厂到买家手中的某个环节被引入的。
为何经销商是薄弱环节
硬件钱包的安全性取决于交付它们的供应链。Ledger发货时设备是密封的；经销商收到这些密封盒后转手传递。如果能够接触到库存的人打开盒子，换入受损的主板，并重新密封包装，最终用户在资金转移之前没有明显的方法察觉。
至少从轮廓上看，这就是此处的情形。第三方经销商售出的设备中出现未经授权的植入物，表明在Ledger自身围墙之外发生了篡改。该公司强调其内部系统——服务器、固件管道、支持Ledger Live和设备认证的基础设施——未被触及。因此这不是对Ledger的黑客攻击，而是一台经过他人之手后才到达客户手中的设备的物理性损害。
损失情况，以及Ledger未言明之处
与该设备相关的加密货币损失已确认，但细节稀少。未披露具体金额。未说明损失发生的时间线。也尚未透露受影响用户是否已获得补偿。Ledger的公开说法是已确认案例有限——这一措辞同时起到两个作用：既安抚了更广泛的用户群体，又为调查继续推进时出现更多案例留出了空间。
对于通过CryptoBilis购买Ledger的用户来说，实际问题在于他们那台具体设备是否被篡改。Ledger尚未宣布批次召回、序列号清单或更换计划。在没有这些信息的情况下，经销商渠道的买家只能自行检查设备并等待。
后续走向
下一个具体步骤是Ledger进一步说明植入物是如何被检测到的，以及这对通过同一经销商售出的其他设备意味着什么。目前已确认案例有限。这一数字是否增长取决于调查结果——以及CryptoBilis能否交代其售出的每一台设备。
就目前而言，直接的建议与硬件钱包制造商多年来反复强调的相同：从制造商或你信任的授权渠道购买，并在向设备发送任何资金之前进行验证。这一指导并未阻止此次事件。但当用户手中的盒子来自他人的货架时，这是他们唯一的保护。
