中文X上的Ledger硬件钱包供应链安全讨论新增植入芯片、泄露助记词的具体说法,并延伸至自托管与交易所托管的选择。UNICORN称,马来西亚经销商CryptoBilis出售的设备在发货前遭拆改,新增芯片能够发送用户助记词,并声称涉及上亿美元损失;余弦将其描述为硬件后门事件,表示正在研究。逍遥XTony则以设备故障、助记词保管和被盗后追偿困难为由,主张将资产存入币安。这些帖子延续设备验真与私钥保管的既有脉络,但候选材料未提供厂商公告、设备鉴定、受害记录或赔付条款,不能确认攻击方式、损失规模,也不能据此认定中心化交易所能够消除全部保管风险。
参与帖子: 冷钱包 Ledger 安全事件全复盘。
- 盗币原理、过往的安全史、实操建议;
苯人入圈这些年,没见过比这更阴间的盗币方式
黑客连代码都不用写,硬件钱包里本来就焊着一张 eSIM 卡
真实用户的血泪:6 月以 65k 抄底 80 个大饼,一周前转进 Ledger,今天清仓归零,账面浮盈 138w 刀,连本金一起打水漂
过去 24 小时,MistTrack 追到的相关资金损失已经接近 9000w 刀,Tether 开始冻结涉事地址的 USDT
门头沟前 CEO Mark Karpelès 亲自拆了一台马来西亚买的 Ledger,发现屏幕缓冲垫位置焊着一个带 LTE 通信、天线、eSIM 和微控制器的间谍硬件
贴纸原装、热缩膜完好,不拆开根本看不出异常
/
❚ 盗币原理,比你想象的简单
硬件钱包为什么安全,核心就两个字:隔离
- 私钥在芯片里,不出设备
- 签名在设备内完成,联网的只是主机,不是钱包本身
这次攻击直接把这个前提拆了
植入的微控制器连在 Ledger 的 SPI 总线上,能读到屏幕要显示给你看的字符
助记词初始化那几页,正好把 24 个单词一个一个显示出来
模块通过 LTE 把这些字符发出去
攻击者拿到助记词,剩下的事和你的密码强度、使用习惯都没关系了,就是等一个合适的时机一键清空
人话说就是,你以为自己在跟一台孤立的保险柜打交道
但保险柜底下藏了一部手机,表面不动声色,屏幕显示什么它都看得见
❚ Ledger 过往的安全史
入圈久的朋友其实对 Ledger 出事不陌生,顺着时间捋一遍 ⬇️
1/ 2018 年:早期硬件研究漏洞
- 研究员演示 Nano S 出厂��可被篡改,MCU bootloader 可绕过
- 多为研究级问题,官方修复为主,鲜有真实损失
2/ 2020 年:电商数据库大规模泄露
- 100w+ 邮箱、27w+ 客户姓名电话地址被公开
- 硬件和私钥没事,但催生了之后几年没完没了的钓鱼邮件和假官方信
3/ 2023 年 12 月:Connect Kit 供应链攻击
- 前员工被钓鱼,npm 账号被控,恶意版本注入所有依赖该库的 DApp
- 两小时内盗走 48 到 60w 刀
- 硬件没事,但大家第一次意识到前端依赖也是风险入口
4/ 2026 年 1 月:第三方 Global-e 订单数据再泄露
- 老问题,继续喂养钓鱼生态
5/ 2026 年 4 月:App Store 假冒 Ledger Live 诈骗
- 诱骗用户输入 24 词助记词,一周内 50 多人被盗 950w 刀
- 这是本次之前,单次损失最高的一回
6/ 2026 年 8 月:以太坊签名漏洞 LSB-023
- Clear-signing 可被绕过,需要恶意主机配合,无实际利用证据
7/ 2026 年 10 月 9 日:CryptoBillis 供应链攻击
- 追踪损失近 9000w 刀,是上次纪录的近 10 倍
一个很清晰的规律
前面所有事件,要么只泄露元数据,要么需要用户主动做傻事(装假 App、填助记词)
但这次是你助记词从没离手,设备从没联网,流程一切正常
钱还是没了
❚ 为什么偏偏是东南亚
CryptoBillis 是 Ledger 东南亚授权经销商
相比下单官网,走经销商便宜一些、到货快一些、不用国际物流
在东南亚币圈,这是很常见的购买方式,苯人在曼谷身边就有不少朋友走这个渠道
供应链攻击的阴间之处在于
- 不需要攻破 Ledger 本身
- 不需要用户失误
- 只要卡住任何一个经销商节点,就能批量作恶
Ledger 已经要求 CryptoBillis 暂停销售发货,并建议近 90 天内从该渠道购机的用户尽快转移资产
但到底多少设备流出去、是不是只有这一家经销商中招,官方自己也没法确认
❚ 实操建议
讲完原理,说点能用上的
1/ 硬件钱包只从官网直购,别走任何第三方
- 包括大 V 推荐链接、经销商、淘宝、某鱼、朋友帮带
- 省那点钱不如直接把设备烧了
2/ 收到设备不要用自带的任何助记词卡,重新初始化
- 严格按 Ledger 官网 Genuine Check 验证
- 必要时寄回官方做物理检查
3/ 大额资产拆仓
- 一个钱包别装家底
- 多签或多地址分散,提高单点失效的成本
4/ 定期轮换钱包
- 哪怕今天没事,不代表三年后没事
- 相当于给账户换把锁
5/ 多关注 MistTrack、SlowMist 等机构的实时监测
- 事件发生到被追踪有时间差,早一步换钱包能救命
/
一句话总结:这次最可怕的不是损失数字,是它改写了「硬件钱包安全」的默认假设
以前我们以为只要自己不作死,钱就是安全的
现在要加一条:你买的东西本身,可能就不是你以为的那个东西
说实话写完这篇苯人自己都想把 Ledger 收起来换个牌子了
行情本就一坨���,再被这种事吓一跳
尊界刹车踏板争议出现检测报告解读和鸿蒙手机视频访问差异的新说法。大漂亮质疑尊界报告中的测试条件,并以“每分钟踩20毫米”描述其理解,同时讽刺品牌社群对安全争议的辩护。崔成浩转述所谓官媒记者核实结果,称鸿蒙手机无法查看官媒发布的尊界V800负面视频,而苹果和安卓手机显示正常,并提及系统未匹配抖音图文的解释。讨论将产品测试争议与传播可见性联系起来,但候选材料没有完整检测报告、原始视频、设备版本或跨设备复测记录,不能确认测试参数的实际含义,也不能将访问差异认定为定向屏蔽、企业干预审核或产品存在缺陷的证据。
参与帖子: 视频看了,感觉超级离谱。
借用网友的话。这估计是在汽车工业史上也是屈指可数的事件......
作为一个不怎么喜欢华为的人,看到的第一反应也是假的吧,夸张了吧,是不是有操作。
很难想象,2026 年会有车企在最基础的结构强度上出问题。
而且,懂车帝最多就是在模棱两可的东西上春秋笔法,这种级别的造假肯定不会干。
StandX相关批评由空投回报延伸至团队管理、大使待遇及与NeoSoul的关系。自称曾任大使的Akiii指称项目早期运营和后续社区管理存在问题,并转述有人反映私募过程中被骗,但可见正文未展示具体证据。肯特船长称NeoSoul曾帮助部分社区用户弥补空投损失,并宣称征文奖励达到每人两千美元,同时质疑StandX撇清关系的做法。CryptoBLACK另发布以NeoSoul为主题、批评暗箱操作的歌词,但没有明确具体被指对象。这些内容延续参与者对项目回报和社区公平性的负面反馈,候选材料未提供补贴到账记录、双方合作文件或项目回应,不能确认管理指控、奖励覆盖范围及双方实际责任。
参与帖子: 行业内圈钱最好的方式是不发币……吗?
StandX 这次把这个梗反着做了
前币安合约负责人 AG 带队,TVL 峰值 2 亿美金,撸毛兄弟们最大共识「铁定上币安」今天彻底凉了
AG 公告写得挺硬气:
没拿 VC 的钱,承认没做进永续 DEX 前三是失败
按现在基本面明明能发,但他认为靠短期投机上线,成本最后会落到社区身上,违背价值观
补偿是空投 DUSD + AG 个人出资(具体多少没写),加一份连领取窗口都写清楚的退场时间表
- 10/20 合约只能减仓,关闭新用户注册和 DUSD 铸造
- 10/26 查空投
- 12/31 08:00 UTC(北京时间 16:00)前领完
- 2027/1/15 前平掉所有仓位
- 2027/1/31 前提现赎回
对比隔壁 Synthra 公告 4 小时作废空投、最终补 3% 到 5%,StandX 确实算币圈少见的「体面关停」
有没有在 StandX 重仓刷过量的朋友,出来讲讲真实心情 🙏
加密交易疲劳的讨论继续延伸至行情下跌反应、历史亏损复盘和交易生存。陈威廉发帖惊讶于加密市场的下跌幅度,但没有给出具体币种、价格或跌幅;Ru7.ai则强调理解市场变化对于生存的重要性。十老板通过两条帖子回顾2018年底比特币与EOS的反弹,并在较长帖子中自述2019年交易亏损七万元、承接父亲赌债及感情受挫的经历。这些内容将此前的机会焦虑与行业疲劳进一步连接到杠杆风险、反弹预期和个人生活代价。不过,历史叙述不构成当前行情判断,候选推文也不足以确认本轮下跌原因、全市场损失规模或普遍退出趋势。
参与帖子: pump 被人怀疑刷量
行情退潮,LetsBONK 7 天手续费 -31%,
GMGN FOMO 这些终端收入也都在掉,就它一家还涨 19%
9 月单月 1.65 亿美金手续费,大头在自家 DEX PumpSwap 里转
PumpSwap 一笔抽 0.3%,自己对敲一圈账面就是手续费新高
钱从左口袋进右口袋,
接着是手续费新高完美喂给币价叙事,妙啊
但换个角度想
刷量这事本身,就说明还想做点事情
真摆烂的项目方,连刷的力气都懒得费
翻翻你山寨仓位,有几个连刷都不屑的 🤡
中文X的投资纪律讨论新增仓位模拟、借贷炒币自述和投资者低谷回顾,关注如何面对本金损失与交易冲动。wu fan介绍一款财商游戏,认为加杠杆或投入全部本金容易归零,并强调保留现金的作用。旧金山不是巴黎自述已借出16万元网商贷,但决定不再用于买币,同时承认此前未能遵守将另一笔40万元网贷留作最后后手的安排。wu fan另回顾查理·芒格的家庭变故和合伙基金亏损,反对将投资者经历理想化。这些内容延续风险控制与行为纪律的脉络,但不是同一策略的效果验证。候选材料没有游戏概率设定、完整借贷与交易流水或历史资料来源,不能证明保留现金必然获得低回撤高收益,也不能核实个人负债及芒格经历的全部细节。
参与帖子: 朱元璋大运没来,也只是个要饭的。
「君子藏器于身,以待时而动」磨好刀,等你的风
打狗、妖币、meme,每条赛道都有人暴富,每条赛道也都在收学费
我也走过完全一样的路,之前很多次亏损归根到底是在不擅长的地方硬扛
亏到后来才真正想明白,找到自己的击球区比学十种新技能重要一万倍
能拿得住、敢上大仓位、不用时刻盯盘,这才是属于你的游戏
大运第一 🙏
中文X继续转述泽连斯基接受采访时关于冻结战线的回答,并将讨论延伸至停战前景、风险资产及乌克兰房地产。崔成浩介绍,福克斯新闻主持人询问是否接受按现状冻结战线、乌方仍控制约75%或更多领土的和平协议,泽连斯基回答肯定。香港老雷进一步声称中美俄领导人即将在深圳会晤,推断相关各方将接受条件,并预期风险资产大涨;另一帖则讨论战争损耗及乌克兰房产抄底可能。候选材料未附完整采访、正式会晤公告、俄方与欧洲回应或和平协议,不能确认停火已经达成,也不能将冻结战线解释为承认领土归属改变。资产上涨与战后房地产机会均属用户推测。
参与帖子: 老登这波是把中期选举押在 K 线上了……吧?
就在刚刚,特朗普官宣俄乌「能源停火」,财长贝森特紧跟一句「预计中期选举前,不会发生任何军事冲突」
距离 11 月 3 日投票日,还剩 23 天
问题是大饼还在 8w 磨蹭,美股震荡,共和党和兄弟们最想要的「选举牛市」始终没来
老登这是最后发力救市,还是提前给选后变脸铺路
老师们怎么看