10 月 9 日，链上分析师 Specter 在 X 上放出一组地址：Ledger 用户的钱包正在以太坊、波场、比特币三条链上被集中清空，粗略合计 8600 万美元以上。几个小时内，「Ledger 被黑 8600 万」冲上各家头条，原因不明，Ledger 官方沉默，评论区已经开始讨论要不要把硬件钱包扔了。

我们把那 10 个盗币地址的每一笔入账翻了个底朝天。初版结论（发稿于事件爆发后几小时）从 0 值仿冒地址簇读出地址投毒的影子；几小时后 吴说区块链报道了 Ledger 官方回应——正在调查从马来西亚经销商 CryptoBilis 购买设备的东南亚用户，CZ 也定性为「单一供应商供应链攻击」。篡改设备（预载助记词）能更完整地解释全部链上证据——而核心结论不变：固件没破，正品设备没破，破的是渠道。

三句话版本：

  • 原帖公布的 10 个地址毛流入约 9,160 万美元（发文时价）：波场 USDT 65,245,481 枚（137 笔外部转入、136 个发送方——其中 96 个各转 ≥10 万美元、中位数约 15 万、最大单笔 700 万）+ 211.2 枚 BTC ≈ 1,747 万 + 3,337 枚 ETH ≈ 829 万 + 以太坊链 USDT ≈ 61 万。波场 USDT 已从这 4 个地址全部转出；BTC 和 ETH 还躺在地址里。
  • 抽查的 ETH 原生转账全是普通转账——没有 approve、没有盲签、没有 drainer 合约。持钥匙的人直接签名走币，指向助记词早已泄露，而不是签名流程被骗。（诚实限定：USDT 转账本身就是合约调用；波场上也有一位对得上 TK6DWN… 的受害者留下了 Approve。）
  • 受害者钱包前后出现同前缀仿冒地址的 0 值转账（0x69c8/0x83ae 簇）。初版我们读作投毒诱饵；复核时间戳后发现多数落在主转出之后，更像攻击者自己的操作地址簇。两种解读指向同一件事：一个有工具、跨三链的规模化作业者。
  • Specter 的完整口径——98 个地址、8,696 万美元，tanuki42 独立估算 7,200 万+——是发帖时点的持仓快照，不是累计流入（其中 211.199 BTC 与三个比特币地址对得上）。两个数字是同一作案的两个视角，Ledger 对哪个都没背书。
  • Ledger 已点名 CryptoBilis 并要求其停售；CZ 定性为疑似单一供应商供应链攻击。

十个地址到底收了多少钱

数据来源 Etherscan V2、Tronscan、blockchain.info，逐地址分页拉满全部历史（不是只看首页）：

链数量折合美元（发文时）独立发送方
以太坊 ETH3,337.35 枚$829 万约 40 个
以太坊 USDT约 60.6 万枚$61 万—
比特币211.20 枚$1,747 万260 笔入账
波场 USDT65,245,481 枚$6,525 万136 个发送方、137 笔外部转入
毛流入合计约 $9,163 万

波场不是散户长尾盘：136 个发送方里 96 个各转了 10 万美元以上（合计 6,391 万），低于 1 万美元的只有 15 笔（合计约 1.6 万），中位数约 15 万，最大单笔 700 万。以太坊上同样集中：约 40 个发送方、平均每人 80 ETH，最大一笔 298.23 ETH。这是整钱包批发式清仓，不是零敲碎打。

顺手纠一个错：有媒体写比特币地址 bc1qjqgwejnp… 「收到超过 211 枚 BTC」。实测它收的是 92.5 枚。211 枚是三个比特币地址的合计，转述时安错了头。数字不大，但它说明一件事：突发事件里，没复核过的数字两小时就能硬化成「事实」。

对我们自己早前框架的更大修正：一次 TRON 全节点全量拉取推翻了我们的首批波场数字（Tronscan 网页 API 漏掉了大额转账，低估约 90 倍——浏览器便利端点不是档案库，这本身就是个教训）。仅这 10 个公开地址的毛流入就约 9,163 万美元，已超过 Specter 的 8,696 万——后者是发帖时点的持仓快照，不是累计流入。我们早前「另有 5,900 万躺在未公布地址」的分解不成立：波场那 6,525 万 USDT 就是从这 4 个已公开地址流过又转走的。今天还留在 10 个地址上的，是 BTC（1,747 万）和 ETH（829 万）——贼还没洗的、所有人都能盯着的那部分。

0 值转账：暴露手法的指纹

真正有意思的部分在这。我们抽了以太坊上第一个大额受害者——10 月 9 日 05:09 UTC 给盗币地址 0x69c8f401… 转了 298.23 ETH 的那个地址——拉出它的完整交易史，大额转出前后的时间线是这样：

  • 05:09 — 受害者转出 298.23 ETH 到 0x69c8f401…（普通转账，input 数据为空）
  • 05:11–05:12 — 又转 14.91 ETH 和 0.75 ETH 到第二个盗币地址 0x83aeac16…
  • 05:12–05:49 — 受害者地址陆续收到一串 0 值转账，发送方包括 0x69c8c5f6…、0x69c8888f9…、0x69c8b3e9…、0x83ae9f19…、0x83ae51cd…

看前缀。0 值转账的发送方，前四位十六进制字符和两个盗币地址完全一致：0x69c8… 和 0x83ae…。随机地址自然撞出四位相同前缀的概率约 1/65536——五个仿冒地址扎堆出现在两个盗币地址周围，这不是巧合，是批量生成的虚荣地址。

初版发文时，我们把这一簇读作地址投毒的诱饵层——和我们拆过的地址投毒攻击全解、粉尘攻击同族打法。但复核时间戳后发现：多数 0 值转账落在主转出之后，不是之前。诱饵必须先于受害者的失误存在才能得手；尾随的 0 值流量更像攻击者自己的操作痕迹——gas 补给、打标、或同前缀地址间的归集记账。

无论哪种解读，这簇地址证明的都是同一件事：一个有工具、跨三链、规模化作业的单一操盘手。

供应链解释：一块拼上所有碎片的图

我们首发后几小时，两条新信息落地。吴说区块链报道：Ledger 正在调查从经销商 CryptoBilis 购买设备的东南亚用户——马来西亚店铺，2020 年创立，也在印尼和菲律宾运营。Ledger 官方要求 CryptoBilis 停售停发，建议过去 90 天内从该店购买设备的用户不要初始化，已设置的用户把资产转移到新设备 + 新助记词。CZ 随后定性：疑似单一供应商供应链攻击，部分用户可能买到了被篡改或假冒的设备。

被篡改/假冒的设备，能解释所有链上证据——包括让我们犹豫的那些：

几乎没有签名骗局痕迹。 抽查的 ETH 原生转账 input 全是空的——纯转账，没有 approve()、没有盲签、没有 钱包 drainer 合约。两点诚实限定：任何 USDT 转账本身就是合约调用（ERC-20/TRC-20 的机制如此）；链上也有一位对得上 TK6DWN… 的受害者留下了 Approve。但主流形态是普通转账——而持助记词的人两种都能签，所以这仍指向钥匙泄露，而不是签名流程被劫持。

三链动作一致。 BTC、ETH、TRON 同一窗口被清，钱包大概率同属一人（一个 Ledger 助记词派生三条链地址）。持钥匙的人会在市场价 gas 下把每条链扫干净——和我们看到的形状一致：三链都是主动转账，波场 USDT 几小时内归集转走，EVM 侧的 USDT 也已转出并做过兑换。（「原封未动」的准确表述：三个 EVM 地址的以太坊余额没动，USDT 已转走。）

受害者「从没泄露过助记词」。 多位 Reddit 受害者坚称自己从没在任何地方输入过 24 个词，也很少碰链上应用。如果设备被篡改，他们说得对——他们确实没泄露，因为那把助记词从一开始就不只属于他们：篡改设备可以出厂预载助记词，或者内置固件在设置时外传。（2026 年 4 月就有研究员记录过中国电商平台上同款假 Ledger：固件回传 PIN 和助记词。）

一周的静默期。 首个波场收款地址 10 月 2 日上线，主清洗 10 月 9 日才爆发。手里握着预载助记词的攻击者不会立刻动手——等余额积累，再一个协调窗口里集中收割。

说清楚边界：按现有证据，这不是正品设备的固件漏洞，也不是 Ledger 安全模型本身失效——设备尽到了职责，是出货渠道先被污染了。同时注意：Ledger 既没确认 8600 万这个数，也没解释具体机制——供应链是目前最强的假说，不是定论。

时间线

  • 10 月 2 日 09:20:54 UTC — 首个波场收款地址创建，开始接收小额测试转账，静默埋伏一周；
  • 10 月 9 日 05:09–05:55 UTC — 三个以太坊盗币地址在 46 分钟内相继激活，另三个波场地址同期上线，主清洗开始；
  • 10 月 9 日 10:26 UTC — 第七个收款地址出现，作案面还在铺开；
  • 10 月 9 日 ~12:36 UTC — 吴说报道 Ledger 调查 CryptoBilis 渠道设备，官方要求经销商停售；
  • 10 月 9 日 11:41:36 UTC — 最后一笔外部 USDT 入账（13:31 UTC 另有一笔 2 美元级别的零星转账）；
  • 10 月 9 日 ~13:47 UTC — Coinpedia 发布 Specter 完整口径：98 个地址、8,696 万美元（持仓快照口径）；tanuki42 独立估算 7,200 万+ 佐证量级；
  • 洗钱进度 — 211.2 枚 BTC（约 1,747 万美元）和 3,337 枚 ETH（约 829 万美元）仍留在地址里（BeInCrypto 对照 mempool 数据 13:44 UTC 独立复核一致）；波场 6,525 万 USDT 已全部转出归集，EVM 地址的 USDT 也已转出并部分兑换。这几个地址已经人尽皆知，交易所和链上分析团队都盯着，大额赃款短期不敢动是常态——参照钱包被清空后的 24 小时该做什么，盗贼通常先养地址、再碎片化进混币器。

现在该做的事

对本次事件真正有用的一步（Ledger 官方指引）：过去 90 天内从 CryptoBilis 买过 Ledger 的——不要初始化设备；已经初始化的，把资产转移到新设备 + 新助记词，新设备只从 Ledger 官方商店买。把话说透：如果设备出厂就带着预载助记词，任何复制粘贴层面的谨慎都救不了你——渠道排查是这次唯一的真防御。永远不要从第三方市场买硬件钱包，2026 年 4 月的假 Ledger 案已经证明假货固件会把 PIN 和助记词回传给攻击者。

另附一组习惯——防的是别的攻击向量（投毒、drainer），防不住预载助记词：

  1. 不从历史里复制地址。 那是被污染的表面。地址只从核实过的源头拿——交易所的充值页、对方的官方网站；
  2. 核对首尾各 6 位以上字符。 仿冒地址通常只抄两头，中间对不上；首尾各核六位能挡掉绝大多数李鬼；
  3. 常用收款方加地址簿。 大部分钱包都支持保存/验证过的联系人，付给保存过的地址，而不是粘贴来的；
  4. 大额先小额试路。 超过零头数字的转账，先转 20 美元再转两万。

如果你就是本次事件的受害者：BTC 和 ETH 还躺在未移动的、已被公开标记的地址里——趁线索还热，去浏览器提交欺诈标记、向属地网警报案。更多动作清单见如何识别和避开加密钓鱼和如何审计自己的钱包活动。

更新日志：初版（10 月 9 日约 14:20 UTC）基于 0 值仿冒地址簇将手法定性为地址投毒；当日稍晚纳入 Ledger 官方 CryptoBilis 回应与 CZ 供应链定性（中文媒体约 12:36 UTC 起报道），并复核时间戳——多数 0 值转账落在主转出之后。核心验证结论不变：可验证 2,710 万美元、受害交易零合约调用、211 枚 BTC 原封未动。晚间第一次更新：纳入 Ledger CryptoBilis 回应与 CZ 供应链定性，复核时间戳后撤回初版投毒定性。晚间第二次修正：TRON 全节点全量拉取推翻首批波场数字——Tronscan 便利端点漏掉大额转账，低估约 90 倍；修正后 10 地址毛流入 ≈ 9,163 万美元，Specter 的 8,696 万是持仓快照口径；时间线修正（首个波场地址创建于 10 月 2 日 09:20:54 UTC，最后一笔外部 USDT 入账 10 月 9 日 11:41:36 UTC）；「零合约调用」补上限定（USDT 转账本身即合约调用，且有一位匹配受害者留下 Approve）。URL slug 保留初版定性以维持链接稳定，结论以正文为准。地址一有动静或官方公布调查结果，本文继续更新。

常见问题

Ledger 硬件钱包真的被攻破了吗？

固件没有。Ledger 官方回应指向供应链污染：从马来西亚经销商 CryptoBilis 购买的设备可能被篡改或造假。被做手脚的设备可以出厂就带攻击者预生成的助记词——这解释了为什么主流转账形态是普通直转（USDT 转账本身是合约调用，也有受害者留下 Approve——但那不是签名骗局的样子），也解释了为什么受害者坚持说从没泄露过助记词。如果你过去 90 天内从 CryptoBilis 买过设备：不要初始化；已初始化的按官方建议把资产转移到新设备、新助记词。

损失真的是 8600 万美元吗？

Specter 的 8,696 万（98 个地址，Coinpedia 报道）是发帖时点的持仓快照，不是累计流入；tanuki42 独立估算 7,200 万+。仅原帖 10 个地址的毛流入就约 9,163 万（发文时价）：波场 USDT 6,525 万 + BTC 1,747 万 + ETH 829 万 + 以太坊链 USDT 61 万。Ledger 对任何数字都没有背书。

为什么有媒体说单个地址收到 211 枚比特币？

Cryptobriefing 的报道写 bc1qjqgwejnp… 这个地址收到 211+ BTC，实测它只收到 92.5 枚。211 枚是三个比特币盗币地址的合计（92.5 + 111.3 + 7.4），转述时张冠李戴了。

普通用户现在该怎么防护？

对这次事件只有一步真防御：过去 90 天内从 CryptoBilis 买过 Ledger 的，不要初始化设备；已初始化的把资产转移到新设备 + 新助记词，新设备只从官方商店买。设备若出厂带预载助记词，核对地址、白名单这类习惯挡不住。那些习惯防的是别的攻击向量（投毒、drainer），照做没错，但别指望它们防住这次的供应链问题。

供应链攻击这个说法是定论吗？

不是。Ledger 点名了 CryptoBilis 并要求停售，CZ 称疑似单一供应商供应链攻击，但官方没解释具体机制，也没确认任何损失数字。『设备被篡改/预载助记词』是目前最能解释链上证据的领先假说，不是已坐实的事实。

被盗的钱现在在哪？

波场 6,525 万 USDT 已从 4 个波场地址全部转出，EVM 地址的 USDT 也已转出并部分兑换。截至 10 月 9 日晚仍留在被标记地址里的：211.2 枚 BTC（约 1,747 万美元）和 3,337 枚 ETH（约 829 万美元）——目前唯一还能实时盯梢的活线索。