8600萬，冷錢包裡多了個晶片

我先把立場放在前面：這次事件之後，「買了硬體錢包就等於安全」這句話，應該從幣圈的常識手冊裡刪掉。不是因為硬體錢包沒用，而是因為我們一直把安全想成數學問題，真正的戰場卻在物流。

10月9日，全球最大的硬體錢包廠商Ledger宣布，正在調查東南亞用戶的資金損失案件，並要求旗下經銷商CryptoBilis暫停所有Ledger裝置的銷售與出貨。根據鏈上分析師Specter的追蹤，被盜資金超過8,600萬美元，橫跨比特幣、以太坊與波場。區塊鏈數據公司Bitquery的估算更高：約9,290萬美元，311個錢包，5條鏈。10月10日，Ledger進一步確認，在一名受影響用戶的裝置中發現了「未授權的硬體植入物」。一顆不該出現在那裡的晶片，躺在號稱最安全的裝置裡。

主流的討論很快分成兩派。一派說這是經銷商的問題，不是Ledger的問題，官方通路買的沒事。另一派說硬體錢包已死，全部搬回交易所。這兩派都搞錯了重點。

先說第一派。「官方通路沒事」這句話，保護的是品牌，不是你。CryptoBilis是Ledger列名的官方經銷商，覆蓋印尼、馬來西亞與菲律賓，2020年創立，今年稍早被一名中國籍人士收購。一個掛著官方授權的通路，可以在中間倉庫被拆開包裝、換掉助記詞卡片、塞進植入物，再原封不動地寄到你手上，而你拆開時看到的是一台全新的、驗證通過的Ledger。Ledger自己的說法是：工廠生產、韌體、Ledger Live應用都沒有被動過，攻擊者動的是經銷商中轉倉庫裡的包裹。這恰恰是最值得害怕的部分——安全模型假設的起點，是你拿到裝置的那一刻；攻擊者選擇的起點，是裝置送到你手上之前。你的威脅模型從開箱開始，他的從出貨開始，中間那段路，沒有人替你站崗。

再說第二派。「搬回交易所」是把一種中心化風險換成另一種，只是換了一個你比較熟悉的對手方。交易所被駭的歷史比硬體錢包供應鏈攻擊長得多，這不是解法，是鄉愁。

真正的盲點在這裡：整個幣圈花了十年教育用戶「不要信任，要驗證」，但驗證的對象一直是鏈上的東西——合約原始碼、簽章、地址。沒有人教你驗證物流。助記詞卡片是不是原廠印的？包裝的封條是不是第一次被拆？裝置裡有沒有多一顆晶片？你驗證不了，因為你沒有X光機，也沒有顯微鏡。自託管的敘事承諾你「掌握自己的鑰匙就掌握自己的錢」，卻沒告訴你，從工廠到你書桌的這段路，鑰匙經過了多少雙手。去中心化解決的是記帳權的壟斷，解決不了實體世界的信任鏈。只要原子還要搭飛機、過海關、進倉庫，去中心化就永遠有一段是中心化的。

這也是為什麼幣安創辦人趙長鵬這次的建議值得聽。他說新買的硬體錢包先放兩週再用，讓裝置空轉14天，觀察有沒有資安警報。這不是技術方案，這是時間套利：給研究人員兩週的時間，去發現同一批次的第一筆盜竊交易。聽起來很笨，但這是目前唯一一個普通人做得到的供應鏈驗證。笨方法之所以存在，是因為聰明方法還沒被發明。

那該怎麼辦。第一，從原廠直購，不要經過任何經銷商、代購、電商第三方賣家。這次事件後，大戶已經開始全部改向原廠下單，散戶沒有理由比大戶更勇敢。第二，新裝置先隔離兩週，裡面不要放超過你能承受損失的金額。第三，助記詞一定要自己在裝置上生成，任何預先印好的卡片、刮刮卡、說明書裡夾帶的「備用助記詞」，一律視為攻擊，當場銷毀。第四，分散簽署者：大額資金不要只依賴單一硬體裝置，考慮多簽或至少兩個不同品牌、不同批次、不同通路購入的裝置。

最後，把這件事放回更大的圖景。同一週，市場剛經歷史上最大的爆倉潮，95.5億美元槓桿一夜蒸發。合約交易者在為槓桿付出代價，自託管用戶在為物流付出代價。幣圈的風險從來不在同一個地方連爆兩次，它總是換一個你沒設防的維度。這次是晶片，下次可能是別的。但有一件事不會變：凡是你驗證不了的環節，你都要假設它已經被攻破，然後為這個假設付保險費。兩週的等待、原廠的運費、多簽的麻煩，都是保險費。嫌貴的人，市場會用另一種方式收費。

如果你覺得這篇拆解有價值，歡迎用LikeCoin給我一點鼓勵。你的每一次拍手，都會變成創作者繼續追蹤供應鏈真相的燃料。在這個連冷錢包都可能被動手腳的產業裡，獨立的調查與寫作，本身就是一種稀缺的安全基礎設施。