2026年硬體錢包安全隱憂加劇，Ledger篡改事件蔓延

在2026年期間，六個硬體錢包品牌揭露了安全問題，但實際上只有其中兩起事件有數位資產被盜。最近的事件涉及一台在送達客戶之前就遭到篡改的Ledger裝置。

硬體錢包的核心功能是將使用者的24字元復原詞組——即其加密貨幣的鑰匙——儲存在離線環境中。

2026年為錢包業者帶來弱隨機性、雷射攻擊與資料外洩

從7月30日開始，攻擊者入侵了以隨機性不足的金鑰生成方式設定的Coldcard錢包。Galaxy Research隨後報告稱，Coldcard錢包的損失已超過1.15億美元。

6月，Ledger的安全研究人員部署了雷射設備以攻破Trezor Safe 7裝置中的晶片，並於次月對Tangem卡進行同樣的攻擊。這些攻擊需要實際持有錢包以及專業實驗室設備。

Trezor向客戶保證，他們的資金仍然安全。Tangem稱對一般用戶的威脅「幾乎不存在」，並強調這些研究人員受僱於一家競爭對手的硬體錢包公司。

BitBox於8月發布了數個韌體漏洞的修補程式，其自家開發人員認為這些漏洞相當嚴重。沒有資金從BitBox錢包被盜的報導。

一些安全事件暴露的是個人資訊而非私鑰。Trezor所使用的運輸公司洩漏了13,689名買家的詳細資料，而SafePal的漏洞則暴露了約40,000名客戶的住家地址。

「2026年可能會成為硬體錢包安全史上最狂野的一年之一，」Wise Advice表示。

Ledger篡改案例在亞洲以外出現

Ledger於週六表示，一名客戶的裝置在未經授權的情況下被植入硬體。隔日發布的更新指出，所有經證實的篡改案例都與馬來西亞經銷商CryptoBilis有關。

關於經銷商CryptoBilis事件的72小時更新 🔽

調查持續進行中，我們正與相關當局合作。受影響裝置的數量有限。我們了解這令人擔憂，尤其是對直接受影響的人，我們正在聯繫受影響的用戶。…

— Ledger (@Ledger) October 11, 2026

區塊鏈分析師估計，這些遭篡改裝置造成的總損失約為9,000萬美元。一名受害者在初始化其錢包後僅數日即損失了80 Bitcoin。Ledger本身尚未提供總損失的官方數字。

經銷商CryptoBilis已暫停所有硬體錢包銷售。該公司的共同創辦人在LinkedIn上表示，早在3月，業務控制權就已轉交給新的經營者。

另外，有用戶通報，從一家授權歐洲商店購買的Ledger裝置擁有與正品不同的內部接線。除了與CryptoBilis相關的案件外，Ledger尚未證實任何篡改事件。

製造商對硬體錢包用戶的指引

Ledger建議客戶僅從其自家商店或官方經銷商購買。該公司特別指示從CryptoBilis購買的客戶，不要初始化任何未使用的裝置，並使用全新的復原詞組轉移資金。

Ledger裝置上的Genuine Check功能會驗證內部安全晶片的真實性。不過，此過程無法偵測到該晶片周遭所有實體修改。

BitBox建議其用戶保持韌體更新，並僅在錢包硬體本身輸入復原詞組。Trezor主張，網路釣魚攻擊比實體篡改構成更大的日常威脅。

Ledger也呼籲其他製造商共同合作，制定防篡改和供應鏈監控的通用標準。

問題仍然存在：2026年是否有任何硬體錢包是完全安全的。雖然沒有晶片在實驗室環境之外被攻破，但Coldcard和Ledger的客戶仍因弱金鑰和售前裝置篡改而遭受財務損失。