Ledger 盗币案传播最广的一句话不是 Ledger 说的，是 Chainalysis 10 月 15 日在 X 上说的：
「Ledger 盗币案最大的受害者之一，本身就是个骗子。他们丢了超过 60 个 BTC，约合 480 万美元。这些钱来自一个任务刷单骗局。」——Chainalysis
够讽刺，互联网也确实乐了一阵。但 Chainalysis 附在这句话后面的交易细节，比讽刺本身重要得多——因为它们正好卡在两条犯罪链的交汇点上，并且悄悄污染了你读到的每一个「干净」的损失数字。
存进去到被端走，中间隔了 17 天
按 Chainalysis 的披露，资金路径是这样的：
- 钱的来源： 任务刷单骗局。受害人先被拉去给真实商品刷销量、刷好评，前期小额佣金真实到账；然后账户里出现「负余额」，想提现就得先充值「解锁」。充值阶段就是骗局的收割阶段。（这套玩法的完整拆解，包括把受害人钱包变成洗钱管道的变体，我们写在这篇任务刷单骗局详解里。）
- 9 月 22 日： 操盘手把累计赃款经一个归集钱包转入三个独立的 Ledger 地址——据 Chainalysis 公布的资金流向图（经 Decrypt 报道），每个地址约 164 万美元。
- 10 月 9 日： 三个地址被清空——各一笔转账，全部进了同一个收款地址，该地址已被标记为持有被盗资金。同一个早晨，另外三百多个钱包也被协同扫荡。
换个角度看：这个骗子做的每一件事，都是一个「谨慎持币者」被教导要做的事。大额资产放进硬件钱包，拆成三个地址分散保管，然后拿着不动。没用。如果设备在到达买家手里之前就被植入了芯片，助记词在设置那一刻就已经泄露——Ledger 安全实验室的拆解显示，植入芯片在设置过程中读取屏幕上显示的 24 个单词，经移动网络发出。钥匙已经在攻击者手里时，拆多少个地址都没有意义。
有一个细节必须保持精确：Ledger 说的是所有「已确认」的损失都追溯到东南亚经销商 CryptoBilis 售出的设备，但 Chainalysis 没有说明这个操盘手的设备购自哪里。把这位受害者归因到被植入渠道，是根据模式的推断，不是已陈述的事实。
被污染的损失估计
这才是「活该」之外、真正会留下来的部分。
Ledger 案的总损失估计目前从约 8600 万美元（链上侦探 Specter，Ledger 明确表示未核实）到 9300 万至 1.02 亿美元（Bitquery 统计，约 324 个钱包、六条链）。这些数字流传时的表述都是「从用户那里偷走的」。
60 BTC 这个案子证明，资金池没这么干净。那些「用户资金」里有一部分本来就是骗局赃款——在 Ledger 的窃贼从骗子手里偷走之前，这些钱属于上游的刷单受害人。Chainalysis 把这一点说得很直白：追踪不会停在「受害者钱包」这一层，而是继续向上游走，走到运营刷单返利盘子的那个人为止。
由此掉出来三个很实际的问题：
- 追偿的账算不清了。 如果执法机关从攻击者的归集地址里追回资金，其中一部分按理说属于上游两跳之外的刷单受害人——而这些人可能永远不会来申报，因为刷单受害人往往没意识到（或者不愿承认）自己被骗了。
- 污染会向下游扩散。 任何后来收到这 60 BTC 某一跳的地址，都会继承污染标记。用 Chainalysis 的话说：不知情收到下游碎片的正常用户，会在筛查工具上吃到一笔不属于自己的「命中」。
- 头条数字需要加星号。 「从受害者那里偷的」和「从罪犯那里偷的」混在同一个估计里。这不让盗窃变小——它让受害者构成变混，而这恰恰是数字变成头条时最先丢掉的细节。
两条犯罪链，共用一条供应链
这个案子把一件事演示得干干净净：加密世界的地下产业不是一家的，至少是两家的，而且互相吃。
任务刷单这条链跑的是社会工程：拉人、小额返利、冻结账户、收割充值。植入芯片这条链跑的是硬件信任：买下一条正规的分销渠道，改装真设备让它通过官方真伪校验，规模化收割助记词，然后等余额养肥了再协同收网。
骗子的 60 个 BTC 在那三个钱包里躺了 17 天。这不是对热钱包的闪电袭击——这是一套把每个受害者平等对待的耐心基础设施，无论你存的是毕生积蓄还是洗到一半的赃款。要记分的话：造植入芯片的窃贼，执行得比开刷单盘的骗子更狠；而两边都比那些以为「买了硬件钱包就是最后一个安全决策」的人想得更远。
硬件钱包仍然是对的。但这个案子——和同一场调查里我们记录过的地址投毒手法——说明的是同一件事：设备只是链条上的一环，链条还包括它从工厂到你桌面之间经过的每一双手。从官方直邮渠道买，核实经销商真的是经销商，任何来历不明的设备，在证明清白之前都当成不可信的来处理。
常见问题
骗子为什么会中硬件钱包的招？
和其他受害者中招的路径一样。Chainalysis 披露该操盘手 9 月 22 日把赃款转入三个 Ledger 地址。如果设备购自被植入的分销渠道，设置时 24 个单词的助记词会在屏幕上显示的瞬间被植入芯片读取、经移动网络外传——不管钱包主人是谁，钥匙已经在攻击者手里。Chainalysis 没有说明该操盘手的设备具体购自哪里。
这 60 个 BTC 本来是谁的钱？
大部分不是骗子自己的。任务刷单骗局的收入来自受害人的充值：先小额返利养信任，再制造「账户负余额」逼人追加投入。这 60 个 BTC 就是这套玩法的累计收入。Chainalysis 明确说追踪不会停在「受害者钱包」这一层，而是继续向上游追——追到运营刷单返利盘子的那个人。
这会改变 Ledger 案的总损失估计吗？
不改总数，但给总数加了个星号。各家估计从约 8600 万美元（链上侦探 Specter，Ledger 未核实）到 9300 万至 1.02 亿美元（Bitquery，324 个钱包、六条链）。这 60 个 BTC 是已确认的例子：总数里有一部分不是无辜储户的钱，而是骗局赃款——「从受害者那里偷的」和「从罪犯那里偷的」混在同一个资金池里。
什么是任务刷单骗局？
招聘类诈骗的一种：先给受害人派简单任务——给餐厅打分、给视频点赞、给商品刷销量——小额佣金真实到账建立信任；然后升级：大额任务要在骗子自己的平台充值才能做，提现时账户出现「负余额」，每解锁一次都要再充一笔。FBI 下属的互联网犯罪投诉中心（IC3）已在 2024 年度报告中把这类模式单列为「task scamming」。
Ledger 案的钱追回来一些了吗？
只有防御性的部分冻结。Tether 在调查早期冻结了关联地址里的 1000 万美元 USDT，此后攻击者开始换入 Tether 冻结不了的稳定币。Ledger 至今没有确认任何总损失数字，称与执法机构的调查仍在进行。