目前從 CryptoBillis（Ledger 官方授權的東南亞經銷商）購買的用戶，關聯用戶資金被盜近 9000 萬美元。 最早是於2026/9/16時Mark Karpelès（@MagicalTux，前 Mt. Gox CEO）發現在拆解多台被「spy implant」(間諜植入物)，並公開照片對比正常 Ledger 主板與可疑植入物對比的推文開始。此推文在推特上緩慢發酵。 而作惡團隊看到推文熱度越來越高，於是在10月9日（週五）早上約從 05:07 UTC 開始，多條鏈（TRON、Ethereum、BNB Chain、Polygon、Bitcoin）的錢包幾乎同時被清空。截至目前已被盜將近9000萬美元。 為何會發生這種被盜案件？ ㄧ.公司易主 CryptoBilis 原本是馬來西亞的 Ledger 官方授權經銷商（主要服務馬來西亞、印尼、菲律賓等地），已經有4年多的服務經驗。 然而在2026年3月，公司被新團隊收購。原創辦人與股東隨後全面退出經營、管理與行政職務，只偶爾協助新團隊辦一些活動。到了8月3日，公司登記顯示 100% 股權已轉到一名叫 Jiaming、戶籍地址在中國黑龍江省的個人名下。 二.作惡手法 作惡團隊在設備出貨給用戶前，偷偷打開外殼在螢幕下方原本放緩衝泡棉的位置，植入一塊小型間諜模組（spy implant）。模組包含：微控制器、LTE/eSIM 行動通訊晶片、天線。 用戶收到設備後正常開機、產生新錢包、螢幕顯示 24 個助記詞時，植入物會監聽螢幕資料線（SPI），把助記詞一個字一個字記錄下來。 記錄完成後，透過間諜模組的行動網路把助記詞傳到攻擊者手中。 攻擊者拿到完整助記詞後，就能遠端重建錢包、把裡面的幣全部轉走。 這種植入物不會動到 Ledger 的安全晶片，所以官方的PC端「真偽驗證功能」通常會通過，用戶完全感覺不到異樣。 圖1、比較早期的(外掛小板的方式）

圖2、後期（量大了直接焊接了專業的通訊模組）

*圖源：推特@MagicalTux 那目前身為用戶我們能做什麼？ 1.確任自己當時的購買渠道 是否是法國官網通路 2.查看自己的幣是否有被轉出 沒有的話那最好，有的話我也不知道怎麼辦！ 如果上述你都是safe的，那應該做什麼嗎？ 10/10的當下，被盜的高峰期已過，那你大概率是安全的，所以我不建議直接去把幣都領出來或搬移他們。 因為人往往都會在忙中出錯！！ 所以可以等你準備好或ledger提出更具體的檢測或事件報告，我們再進行下一個步驟。 我還是要再次呼籲 ！ 買冷錢包能走官網就走官網！ 別為了貪圖省運費而冒這個風險！ 目前小弟我是安全的，也因為是安全的所以現在有心情在這邊發文。 #Ledger