2026年硬件钱包安全困境加剧，Ledger篡改事件蔓延

在2026年，六个品牌的硬件钱包披露了安全问题，但实际被盗的数字资产仅涉及其中两起事件。最近的这起事件涉及一台在送达客户之前就被篡改的Ledger设备。

硬件钱包的核心功能是将用户的24个单词的恢复短语——他们加密货币的钥匙——存储在离线环境中。

2026年给钱包公司带来弱随机性、激光攻击和数据泄露

从July 30起，攻击者侵入了那些密钥生成随机性不足的Coldcard钱包。Galaxy Research随后报告称，Coldcard钱包的损失已超过$115 million。

在June，来自Ledger的安全研究人员使用激光设备破解了Trezor Safe 7设备中的芯片，并在下个月对Tangem卡做了同样的事情。这些攻击需要实际持有钱包和专门的实验室设备。

Trezor向客户保证他们的资金仍然安全。Tangem称对普通用户的威胁“几乎不存在”，并强调这些研究人员受雇于一家竞争的硬件钱包公司。

BitBox在August发布了针对多个固件漏洞的补丁，其自己的开发人员认为这些漏洞严重。据报告，没有资金从BitBox钱包被盗。

一些安全事件暴露的是个人信息而非私钥。Trezor使用的快递公司泄露了13,689名买家的详细信息，而SafePal的泄露事件暴露了约40,000名客户的家庭住址。

“2026年可能是硬件钱包安全史上最疯狂的年份之一，”Wise Advice指出。

Ledger篡改事件在亚洲以外浮现

Ledger在周六表示，有未经授权的硬件植入物被放入了客户的设备。次日发布的更新报告称，所有经证实的篡改事件都与马来西亚经销商CryptoBilis有关。

72小时更新经销商CryptoBilis事件 🔽

随着调查的继续，我们正在与相关当局合作。受影响设备的数量有限。我们知道这令人担忧，尤其是对于直接受影响的人，我们正在联系受影响的用户。…

— Ledger (@Ledger) October 11, 2026

区块链分析师估计这些被篡改设备造成的总损失约为$90 million。一名受害者在初始化钱包几天后就损失了80 Bitcoin。Ledger本身尚未提供总损失的官方数字。

经销商CryptoBilis已暂停所有硬件钱包销售。在LinkedIn上，该公司的联合创始人表示，业务控制权已于March移交给新的所有者。

另外，有用户报告称，从授权的欧洲商店购买的Ledger设备含有与真机不同的内部布线。Ledger尚未证实除与CryptoBilis相关的事件之外的任何篡改事件。

制造商对硬件钱包用户的指导

Ledger建议客户只从其自己的商店或官方经销商处购买。该公司特别指示从CryptoBilis购买的客户不要初始化任何未使用的设备，并使用新的恢复短语转移资金。

Ledger设备上的Genuine Check功能验证内部安全芯片的真伪。然而，该过程无法检测该芯片附近的所有物理修改。

BitBox建议其用户保持固件更新，并仅在钱包硬件上输入恢复短语。Trezor认为，网络钓鱼攻击比物理篡改构成更大的日常威胁。

Ledger还敦促其他制造商合作制定关于防篡改和供应链监控的通用标准。

问题仍然是，2026年是否存在完全安全的硬件钱包。虽然没有任何芯片在实验室环境之外被攻破，但Coldcard和Ledger客户仍然因弱密钥和售前设备篡改而遭受了财务损失。