2026 年最吓人的供应链攻击，越过了一道它本不该越过的边界。
10 月 9 日，东南亚 Ledger 用户钱包被集中清空，设备全部出自授权经销商 CryptoBilis——我们在上一篇文章里完整追过这条线：马来西亚公司注册记录显示这家经销商 3 月被秘密收购，8 月股权变更登记到一名中国黑龙江地址人士名下。那个故事有清晰的形状：买下一个受信任的经销商，给库存下毒，花几个月收助记词，一夜收割。残忍，但可控——一个经销商、一个区域、一套剧本。
然后欧洲接了话。
两家门店，两台植入机
10 月 11 日，X 用户 Johannes 报告：几周前在 MediaMarkt 买的 Ledger Nano X 里有不该存在的额外线缆。MediaMarkt 是德国最大电子零售连锁（类比国内的话，近似苏宁国美在数码区的地位），而且挂在 Ledger 官方授权零售目录里。Karpeles 看了拆机照片后判定：又一台间谍植入机，而且是他检验过的马来西亚样本里更早期的设计，藏得没那么深，天线还露在外面。
他还注意到一个把整个事件重新定调的细节：那根天线上印着「Eurasian version」。他的解读是，植入方按目标区域的手机频段做了版本区分——靠 LTE 往外发数据的植入物，发到欧洲就得用欧洲的频段。而印上版本标签这件事本身，说明这不是一次性手工活，是有人在做库存管理。
第二天，10 月 12 日，事情升级了。Johannes 又去了另一家 MediaMarkt 门店，买了一台 Nano X，全程录像开箱——同样的额外线缆、同样的 LTE 模块。两家门店、两台设备、同款改装。他的钱包没有被盗转——「要么设备没工作，要么他们在等这些设备铺得更开」，他的猜测和调查者对这类攻击的一贯判断一致：手里攥着一批助记词的人，完全可以等。
据他转述，MediaMarkt 店员说这台不是退货机（退货的 Ledger 会退回厂家），库存记录显示这批货的货源是 Aqipa GmbH——一家欧洲级别的电子产品分销商。第一台已寄给 Karpeles，第二台寄给 Ledger 送检。这些目前都还没有独立核实：一位买家的陈述、一位研究者对照片的判读、一条比任何人回答速度都快的追问链。
植入物的版本考古
「Eurasian version」这个标签，落在研究者已经掌握的事实上：这个植入物是分代的。
技术深拆来自 Tibane Labs，他们通过日本二手市场搞到了两台植入 Nano X，把谱系摸清了：
| 代际 | 发现渠道 | 关键变化 |
|---|---|---|
| 原型（2025 年） | Reddit 预警流出，Joe Grand 拆解 | 从 OLED 排线手工焊线引到加装板——单件作品 |
| 二代 | 日本 Yahoo 拍卖 | 定制 Kapton 柔性电路板、带正规丝印；锚定工厂测试焊盘；占掉部分电池空间 |
| 三代 | 日本亚马逊，中国卖家、马来西亚发货 | 全板涂黑和 Ledger 原板同色；Nordic nRF9151 LTE 模块 + eSIM；定制天线已到第二修订版（AC-A2016-NANO-V1.1）；外形按 Ledger 自身元件的轮廓开槽——对准即落位，为产线优化 |
| 「早期版本」 | 欧洲 MediaMarkt | 据 Karpeles 对照片的判断：天线外露、植入物未藏进屏幕下方——设计早于马来西亚样本 |
BleepingComputer 的报道补上了市场信号：9 月 16 日起就有研究者展示过 Ledger X 植入机，篡改设备以接近正品半价流通——灰市下毒机的经典折扣。Karpeles 还注意到，新批次的做工是「按订单制造」而不是手工改装：板厂出的拼板柔性电路、改到第二版的天线、让不熟练工人也能对准落位的定位结构——这条线离「装配线」就差一个名字了。
欧洲的发现因此格外蹊跷：躺在德国货架上的反而是更老、更容易发现的设计。说得通的读法有两种——早期植入机在欧洲分销链里躺了很久，或者不同批次在不同时间投向了不同区域。无论哪种，「Eurasian version」现在看着都不像个花边细节，更像一个产品型号。
马来西亚剧本为什么解释不了欧洲
这是调查者目前合不拢的那一环。马来西亚案有机制：经销商被秘密换了主人，篡改和新东家的时间线对得上。欧洲没有这样的故事。Aqipa GmbH 是经营多年的泛欧分销商，MediaMarkt 和姊妹连锁 Saturn（集团约 1070 家店、11 国）是正规授权零售——不是去年春天被人悄悄买走的壳。没有任何人指控分销商或零售商做错了事，公开记录里也没有这样的迹象。
于是剩下几种不舒服的可能：篡改发生在物流更上游、在途中的某个仓库、在没人盯着的某个中转环节——密封纸箱从谁手里过了一道。一个能把触角伸进欧洲主流零售连锁热缩膜库存的篡改操作，和买下吉隆坡一家经销商，是两个量级的问题。当然，到目前为止欧洲就两台设备。诚实的立场是：两台有照片佐证的欧洲报告、零台经 Ledger 确认的欧洲案例、一条没人画完的供应链。
Ledger 10 月 11 日声明维持此前口径：与 10 月 9 日盗币相关的已确认案例全部是 CryptoBilis 渠道设备，直营不受影响，正与执法部门和 SEAL 911 应急组合作。欧洲那两台当时还在寄往检验者的路上。底层案件的损失估计目前已经爬过 9300 万美元。
什么才能真正保护你
防御措施和东南亚案发时讲的是同一套，只是波及半径变大了——收购链条看 CryptoBilis 案研究，资金去向看逐地址追踪篇：
- 从厂家官网直购。目前所有确认中招的设备都经过经销商渠道。「授权」现在的含义是「截至你不知道的上一次股权变更时是授权的」——如果欧洲这条线坐实，可能连这个都不剩。
- 软件检测不能给硬件清白。Ledger 真品检测验证的是管助记词的安全元件；搭屏幕排线的植入物在它的视野之外。检测通过只说明芯片是真的，不说明设备是干净的。
- 密封包装什么都证明不了。此前检验过的一台植入机热缩膜完好。
- 经过不可信渠道初始化过的设备，应当作已经泄露处理。解法是在可信硬件上换新助记词、转移资产——不是拆开看看，不是求个心安，不是等。Johannes 的设备「还没被转走」；在这类攻击里，「还没」是关键词。
- 旧的预装助记词骗局只是热身。预装助记词的老骗局是这个攻击的经典版本；植入物时代是它的工业化升级。
接下来盯什么
三个节点将决定欧洲是脚注还是第二战场：(1) Ledger 对第二台 MediaMarkt 设备的法证结论——是否同一家族；(2) Aqipa 的库存记录（如果公开或被调取）能否证明两台设备同批次；(3) 还有没有其他欧洲买家拆机、拆出什么。Johannes 已经呼吁召回。如果你在欧洲经经销商渠道买过 Ledger，账很好算：在官网直购设备上重新生成助记词的成本是一个小时；赌错一根「Eurasian version」天线的成本，是钥匙下的全部。
法证结果落地后我们会更新本文。
常见问题
Ledger 官方承认 MediaMarkt 那两台是被改过的吗？
还没有。Ledger 10 月 11 日声明说，与 10 月 9 日盗币事件相关的所有已确认案例都限于 CryptoBilis 渠道出售的设备，自家基础设施和直营渠道未受影响。MediaMarkt 的报告来自一位买家的拆机照片和视频，Karpeles 是对公开图片做的判断。两台设备已寄出送检——第一台寄给 Karpeles，第二台寄给 Ledger——独立法证结论还没出来。
「Eurasian version」这个标注是什么意思？
据 Mark Karpelès，欧洲那台设备里的天线上印着「Eurasian version」字样。他的解读是：植入操作按各区域移动频段做了版本区分——欧洲的 LTE 频段和亚洲不同，靠蜂窝网络外传助记词的植入物必须做区域适配。贴版本标签意味着有人在管理库存：哪批货发哪个地区，是记着账的。
是不是 MediaMarkt、Saturn 全线库存都中招了？
不是。目前全部报告样本就是两家门店的两台设备。约 1070 家门店、11 个国家是这家零售集团的总规模，不是受影响门店数。没有任何证据表明门店员工或分销商 Aqipa 参与篡改；设备在供应链哪一环被动手，目前未知。
Ledger 的官方真品检测能查出这类植入物吗？
不能。真品检测验证的是安全元件——存私钥的芯片——而植入物完全不碰它。植入物搭线屏幕排线，在用户设置钱包时截取屏显的助记词，再通过内置 LTE 模块加 eSIM 外传。软件层验证看不见多出来的硬件，而且此前检验过的一台被篡改设备热缩膜完好、包装无懈可击。
在欧洲实体店买了 Ledger 怎么办？
没初始化过的，不要初始化——植入物只在设置过程屏显助记词的那段时间能截获它。已经初始化过的，在一台有理由信任的设备上（最稳是官网直购）生成新助记词，把资产转过去。保留购买凭证和包装，调查需要完整的购买链路。