Tether冻结与CryptoBilis Ledger失窃案相关的1000万枚USDT

六条链上流失约9320万美元

发行方对被盗资金出手,冻结了与CryptoBilis转售的Ledger硬件钱包被盗案相关的1000万枚USDT,而Tether(USDT)价格在本周一的交易时段中始终维持与美元的锚定。链上分析公司Bitquery自10月9日资金流出首次浮出水面起便持续追踪,并已在链上核实了这批冻结。其累计统计显示,约有9320万美元从六条区块链上的315个钱包中被转走;安全研究平台YFarmX读取同一份公开链上数据,给出的数字更高:七条链、521个地址、约9450万美元。这两个数字均非Ledger官方口径,该公司至今未确认总损失金额,因此二者都只能视为分析师估算,而非经审计的确数。

Bitquery的拆分显示,损失大头在TRON上,约7050万美元,另有1680万美元流向比特币(BTC)、370万美元流向以太坊(ETH),其余零散分布在BNB Chain、Polygon和Solana上。链上时间线指向数月前的预谋:与盗窃相关的地址在9月25日(星期五)就已建好,并在10月初之前用数十笔小额转账反复演练。10月9日当天,攻击者据称先改写了30个TRON钱包的权限,约一小时后又在单个区块内把111个比特币钱包中的约203.8枚BTC一并转出。这样的操作序列只有在攻击者早已握有私钥的前提下才可能完成。而本次冻结正是补上了链级盗窃无法回滚的缺口:稳定币发行方可以在地址层面将涉罪代币拉入黑名单,这是比特币和以太坊都无法给持有者提供的杠杆。Bitquery估算,截至10月11日仍有约8100万美元的可追踪代币留在链上,不过部分资金已经穿过加密混币器Tornado Cash以及Zcash。

Ledger指向物理植入

资金流出浮出三天后,Ledger于星期日在X平台发帖称,调查仍在进行中。其目前确认的范围很窄:所有已查明的案例都涉及第三方经销商CryptoBilis售出的设备,这家经销商曾在马来西亚、印度尼西亚和菲律宾开展业务,没有证据表明Ledger自身的系统、服务或直销渠道被入侵。10月10日(星期六),公司通报称至少有一台受影响设备被发现装有未经授权的物理植入件,这是本案第一份硬件层面的证据。Mt. Gox创始人Mark Karpelès的公开拆解走得更远:他拆开一台在马来西亚购买的Ledger Nano X,在屏幕下方发现了隐藏的元件,包括一个蜂窝调制解调器、一颗eSIM以及一枚能截取屏幕显示内容的小芯片。设置过程中的恢复短语正是显示在这块屏幕上,读取屏幕的元件便可通过移动网络把短语传出,让窃贼在别处重建整个钱包。不过,尚不能证明每一台受影响设备都装有这类零件。

授权经销商的关系正在加剧外界对Ledger的批评。CryptoBilis官网上挂着官方Ledger徽章,X用户MyCryptoParadise写道:“这不是CryptoBilis事件,这是Ledger事件”,要求公司至少为这次烂摊子担起责任。CryptoBilis联合创始人Arravind Prabu此前表示,公司已于2026年3月被收购,整个团队在交易中移交了系统权限;工商记录上唯一的新投资人注册在中国,但目前没有任何证据把这起股权变更与盗窃案联系起来。该经销商已暂停旗下所有品牌的销售与发货,并关闭了三个国家的门店。Ledger建议近90天内购买CryptoBilis设备的买家不要启用未拆封的机器,并呼吁现有用户把资产转移到新设备、重新生成恢复短语,这一建议与硬件钱包面临的安全威胁的整体判断一致。

黑名单杠杆与未解之题

我们对链上记录的判断是:这起盗窃发生在密钥层,而不是链层。9月25日的演练转账、对30个TRON钱包的权限改写以及单区块内的203.8枚BTC清扫,全部以拿到密钥为前提,而Karpelès描述的植入件设计若在更多设备上得到确认,恰好能提供这一点。这次冻结也展示了稳定币杠杆的运作方式:一笔被拉黑的USDT余额,在任何执行封禁的加密交易所上都是死的。发行方此前已动用过这一控制手段,为一起政府没收案销毁并重新发行902万美元USDT,联邦官员也曾对与伊朗相关的10亿美元Tether(USDT)采取同样措施。Ledger仍未公布经确认的损失总额。追踪停在10月11日的位置:Bitquery估算315个钱包流失约9320万美元,YFarmX报告521个地址流失9450万美元,约8100万美元仍可追踪,而厂商自己的审计数字依旧缺席。