十二天，够一个加密安全事件走完从惊悚到算账的全过程。
10 月 9 日凌晨，第一批受害者眼睁睁看着自己的钱包在几秒内被清空。10 月 21 日今天，这个案子已经攒下了：一份第三方机构按时间戳逐笔还原的执行清单，一套被行业连夜修改的零售规则，一台 899 美元的新机器，还有 10 月 19 日 Bloomberg 报出的一个新变化——Ledger 正在审查不是从涉案经销商买的植入设备报告。
这是本系列的第五篇，也是收官篇。前四篇在这里：发稿当天的链上账本、经销商收购案如何变成攻击面、植入设备打进欧洲零售货架、被骗子的 60 个 BTC 也被偷了。
收官篇不追新料，做老实账：数字怎么错的，攻击怎么打的，钱在哪，什么问题至今没有答案。
8600 万怎么变成 1.02 亿
这个案子最有教育意义的，是损失数字的三次变脸。
10 月 9 日当天，受害者公开了 10 个归集地址。Specter 按这些地址的持仓快照算出 8686 万美元；我们对同样的地址按累计流入算，得到约 9160 万（两个数字和方法都发了稿）；另一家追踪方 tanuki42 估 7200 万以上。三个数字都对，因为量的是不同的东西：快照余额、历史流入、部分标记的资金流。
然后 Bitquery 做了只有全量追踪才能做的事：不看受害者公布的地址，直接跟盗窃方的归集行为。这一跟挖出了没人公开过的批次，包括 9 日当晚 20:49（UTC）被一笔清掉的 9 个 TRON 钱包 880 万 USDT，和后来补上的 11 个以 TRX 为主的 TRON 钱包，10 月 16 日累计到 335 个受害钱包、六条链、1.02 亿美元。最早的 8600 万不是错，是残缺：只覆盖了三条链上的 10 个地址，漏了 Solana、BNB Chain、Polygon 和 6 个未公开的 TRON 地址。
两个限定条件必须跟数字走。第一，Ledger 官方不确认任何总额，明确说流传数字来自第三方。第二，这个资金池不干净：Chainalysis 披露至少 60 个 BTC 是一个刷单诈骗头目的赃款，清空那天正好躺在植入钱包里。「偷了受害者的钱」和「偷了骗子的赃款」混在同一个总数里，做保险测算、做受害者统计时这笔账必须拆开。
受害者侧还有个扎眼的数字：抽样钱包里 6 成是在退货窗口期内首次注资的，8 成从 6 月才开始注资。也就是说这些钱包不是躺了多年的冷存储，是新装机新转账，恰好是窃取助记词类植入物最理想的猎物。
47 分钟：这不是黑客，是流水线
执行层面的细节，此前没人完整拆过，Bitquery 按时间戳给出的清单值得慢读。
彩排跑了近两周：9 月 26 日到 10 月 7 日之间，41 轮小额测试循环，TRON 上 21 轮、以太坊上 20 轮，都是盗窃方在自己地址间倒腾零头。然后是 10 月 9 日（UTC）：
- 03:55，一个钱包被加上盗窃方的第二个 key。到 09:49，仅这个钱包就没了 400 万 USDT。
- 04:59:57 到 05:00:00，30 个钱包在三秒内被加上同一个新 key。
- 05:07:48 到 05:07:54，25 个钱包分两批签同一套 approval，第一笔签名后约七分钟内 2900 万美元已经出手。
- 05:09，以太坊侧开清，其中三个钱包各约 300 ETH。
- 05:54:20，111 个比特币钱包在同一个区块内被清空，约 203 个 BTC。
- 20:49:21，数小时后，9 个 TRON 钱包一个区块清掉 880 万 USDT。
这完全不是漏洞利用的行为。没有重入、没有闪电贷、没有在攻击任何代码，钥匙早就在手里，这是一场照着剧本对几百个账户按链分批执行的作业。植入物本身同样是工业级的：Ledger 安全实验室 Donjon 的说法，是一枚微控制器在用户初始设置时读屏识别 24 个助记词，经内置 eSIM 走 LTE 外发，安全芯片毫发无损，官方 genuine check 天然失明。拆解报告辨认出三代硬件，量产版用了 Nordic 的 LTE 模组和定制天线。检验过樟宜机场那台设备的 Karpelès 对 Bloomberg 说得很直白：这不是谁在车库里给 Ledger 装植入物，这是谍战片级别的规模。
樟宜那台设备的人味结尾值得单独记一笔：机主 Ben Yorke 是吉隆坡的加密从业者，在新加坡樟宜机场的 Metapod 店买的 Ledger Flex，从没初始化过，因为后壳撬痕起疑寄给了 Karpelès，后者拆出了接显示器的排线、蜂窝芯片和 SIM 卡（Bloomberg）。塑封从来不是大家以为的那种保证。
官方下半场：新规矩、新机器，和一个守不住的定义
Ledger 的应对分两波。操作波：设备从柜台撤进货房、退货一律不得复售、可疑立即上报；MediaMarktSaturn 在欧洲约 1070 家门店、11 国下架；东南亚六国和香港分销商被要求停售；Trezor 和 OneKey 双双收缩经销商网络，OneKey 给 CryptoBilis 购机用户免费换新（详见欧洲篇）。
产品波：10 月 15 日巴黎发布 Atom，899 美元（创始人版 849），Android 底座、关机可检测物理篡改、越南自有工厂生产、只在官网卖、待认证后 2027 年夏发货（Gizmodo、CryptoPotato）。把安全架构翻译成大白话：分销攻击的解法是把分销收回来自己干。至于日期，记得 Stax 曾经跳票一年再说话。
真正要盯的是定义。Ledger 把事件定性为「局部分销攻击」，绑定涉案经销商渠道。但 10 月 19 日 Bloomberg 报道，公司「也在审查在其他渠道购买的设备中发现植入物的报告，问题可能超出单一经销商」，发言人称之为「高度有组织的犯罪团伙」干的。「局部」这个定性能不能守住，现在是开放问题，不是定论。
钱去哪了：一张还画着 8100 万的地图
防御方的动作按发行方能力分了岔。Tether 早早冻了关联钱包里 1000 万美元 USDT。盗窃方有预案：约 2390 万走 USDD，一种 Tether 冻不住的稳定币，经 THORChain 全换成 ETH。Circle 有过窗口，10 月 12 日被标记可冻的 238 万 USDC 没冻成，10 月 14 到 15 日被转走。八天里约 7700 ETH 进 Tornado Cash，出金后大部分经 Zcash 走沉淀（Bitquery 的滚动账本值得收藏，它连自己早期把 THORChain 金库误标成 OTC 柜台的错误都留了更正记录）。
10 月 16 日时，链上仍能看到约 8100 万美元。这是整个案子最安静也最重要的头条：洗钱基础设施全开，大部分赃款却没有消失，就停在调查者和任何普通人都能看到的地方，一旦在错误的地方冒头，发行方的冻结还能咬人。
问责线，用能站住的写法再讲一遍
能不越界地断言的是这些：安全研究员 Joe Grand 在 2026 年 3 月 4 日向 Ledger 报告过一台植入的 Nano X（设备 2025 年 8 月购自泰国 Lazada 的非授权卖家 LedgerXXX，该卖家不在授权名单上）；据 Grand 向 Cointelegraph 的转述，Ledger 收到报告并称在内部调查，而被直接问到如何处理这份披露时，Ledger 拒绝置评。Karpelès 说至少两人早在 2025 年 12 月就联系过 Ledger 反映被动过手脚的设备，其中一位是越南加密教育者 Tai Zen，这是他的个人转述，Ledger 没有确认收到过这些更早的预警。有据可查的事实是：10 月 9 日清空潮之前，没有任何公开预警（Cointelegraph、我们的时间线）。问责的全部问题，就卡在这个空档上。
还没有答案的问题
老实的复盘要把未知摆在明面上：
- 谁干的。 截至 10 月 21 日零逮捕、零指控、零点名嫌疑人。
- 真实总额。 Ledger 什么都不确认；1.02 亿是最完整的第三方口径，且混着赃款。
- 动手环节。 植入物到底进了分销链的哪一环，翻新、仓储还是运输，没有公开结论。
- 范围。 正在审查的其他渠道购买设备，是不是同一伙人所为。
- 欧洲那两台。 MediaMarkt 的设备与 CryptoBilis 批次是否同源。
- 股权。 2026 年 3 月收购经销商的主体是谁、与归集地址有无资金关联，什么都没建立。
- 发货。 Atom 能不能靠近 2027 年夏天。
手里有 Ledger 的，现在做三件事
实用建议收成三条，完整版在自救资源页：对照 Ledger 官网授权经销商名单核对购买渠道，凡电商市集或第三方经销商买的机器，塑封再好也别再放有价值的资产；认清 genuine check 查不出这类植入物，它验的是芯片，不是有没有多一块硬件；换可疑设备时，新助记词必须在新机器上生成，绝不能在旧机器上重设。资金已暴露的，标准流程照走，用干净设备出新地址，趁还控着钥匙把能撤的授权撤掉。
最后留一个行业注脚。这个案子落在冷存储的多事之秋：夏天 Coinkite 的软件漏洞被卷走约 1.3 亿美元比特币，Trezor 又因物流商泄露了约 6.7 万客户资料。这些案子没有一个攻破了密码学。2026 年硬件钱包危机的共同点是：数学每次都守住了，出事的永远是数学周围的公司、渠道和人。看着 8100 万美元摆在光天化日之下、它的主人却还无人被捕，这不是一个安全薄弱的故事，这是一个关于安全到底住在哪里的故事。
常见问题
Ledger 被黑到底损失了多少钱？
目前最完整的第三方估算是 Bitquery 的 1.02 亿美元、335 个受害钱包、六条链（TRON、比特币、以太坊、Solana、BNB Chain、Polygon），口径截至 10 月 16 日。Ledger 官方明确表示不确认任何总额，称流传数字均来自第三方。最早广传的 8600 万美元只统计了受害者公开的 10 个归集地址。
我的 Ledger 钱包还安全吗？
Ledger 确认的所有损失都指向经东南亚授权经销商 CryptoBilis 及平行改装渠道售出的设备，不是固件或安全芯片的问题。植入物是贴在壳子里的额外硬件，官方 genuine check 验的是安全芯片，查不出这种东西。从 Ledger 官网直购的用户目前没有确认受害案例；经第三方经销商或电商平台（含 Lazada 等市集卖家）购买的设备，就算塑封完好也应视为可疑。
损失数字为什么从 8600 万美元变成 1.02 亿？
不是通胀，是覆盖面变了。8600 万只算了 10 月 9 日受害者公开的 10 个归集地址；Bitquery 后续按盗窃方的归集行为全链追踪，补上了 Solana、BNB Chain、Polygon 和 6 个未公开的 TRON 地址，到 10 月 16 日累计 335 个钱包、1.02 亿美元。我们发稿当天的自测（10 个地址累计流入约 9160 万）介于两者之间，因为统计口径是累计流入而非快照余额。
作案的人抓到了吗？
截至 10 月 21 日没有任何公开确认的逮捕或指控。Ledger 称正与执法机构及 SEAL 911 应急组织合作。目前的战果是防御性的：Tether 冻结了关联地址 1000 万美元 USDT，约 8100 万美元赃款在 10 月 16 日时仍可在链上追踪。
Ledger Atom 新机能解决植入问题吗？
Atom 是 10 月 15 日发布的新设备，定价 899 美元（创始人版 849 美元），2027 年夏天发货（待认证），只在 Ledger 官网销售、越南自有工厂生产，关机状态下可检测物理篡改。它的思路是消灭中间环节来消灭分销攻击。参考 Stax 曾跳票约一年，发货时间别太当真。