Ledger 植入芯片事件怎么回事？
2026 年 10 月，一批在东南亚经销商 CryptoBilis 售出的 Ledger 冷钱包被发现藏了一颗额外的芯片。用户第一次设置、屏幕显示 24 个助记词的那一刻，这颗芯片就把画面上的字读走，再通过移动网络传出去。
拿到助记词的人，等于拿到整个钱包。链上研究者估算的损失，从约 8,600 万美元到超过 1 亿美元都有，Ledger 还没证实总数。
新加坡警方之后也发布了警示：有人在新加坡的零售店买到被动过手脚的 Ledger。
为什么冷钱包里能被塞进一颗芯片？
这次攻击要成立，靠的是三个条件凑在一起。
第一，有人比你先打开它。 Ledger 表示，攻击者买进正版设备，拆开后装上隐藏元件，再让它回到经销渠道卖出。
第二，助记词会出现在屏幕上。 设置时，安全芯片会把 24 个词送到屏幕显示。研究人员打开被动过手脚的 Nano X 检查，发现加装的芯片接在这条传送画面的线路上，直接从信号读出那 24 个词，不需要靠摄像头偷拍画面。
第三，里面有空间，也有电。 研究人员打开检查后发现，有的版本把原本的电池换成更小的，有的拿掉屏幕下方的泡棉，腾出位置。加装的芯片用钱包自己的电池供电，还自带移动网络模块和 eSIM，不用经过你的手机或电脑就能把助记词传出去。
研究人员 Joe Grand 打开检查了一台被加装类似芯片的 Nano X（不是这次 CryptoBilis 售出的那批），他在 hardwear.io USA 2026 的演讲里完整演示了检查过程（英文）。
问题不在屏幕，而在购买渠道和设备设计
屏幕是助记词被读走的地方，但有了屏幕，也才能在设备上核对交易的地址和金额。整件事的起点，是设备在送到你手上前就被打开过。
Ledger 表示，这次自家的芯片、操作系统和服务器都没有漏洞，问题出在设备离开原厂后的经销渠道。Ledger 当时要求东南亚和香港的授权经销商暂停销售，并重申退回的设备一律不得再次销售。
麻烦的地方在这里：原本的安全芯片完好，所以 Ledger 的官方真伪验证查不出加装的那颗。这件事不只发生在 Ledger，任何品牌的硬件钱包都一样，购买渠道本身就是安全的一环。
所以最大的风险其实是在哪里买，其次才是设备的设计：助记词会不会显示出来、设备里有没有空间和电池让加装的芯片运作。
带屏幕和不带屏幕的冷钱包怎么选？
挑选时，先看设备有没有自己的屏幕。卡片外形的冷钱包，也有带屏幕的款式。对照前面三个条件，区别就清楚了。
带屏幕的款式，像 Ledger、OneKey、SafePal 的屏幕款，以及 CoolWallet Pro、S。转账时可以在设备上核对地址和金额，多数用助记词备份。
不带屏幕的卡片款，像 Tangem。按 Tangem 公布的规格，它靠手机 NFC 感应供电，不用电池，交易内容在手机 App 上核对。芯片有 EAL6+ 安全认证，无助记词模式用配对好的卡片备份同一个钱包，三张都完成配对后，丢了一张还能用其他卡片。第二代以后也可以在首次设置时选用助记词。
Tangem 表示，无助记词模式的私钥在卡片芯片里生成，过程中不显示任何助记词，也就没有传送那 24 个词的线路可以被监听。按 Tangem 公布的规格，卡片没有电池，只在贴近手机时靠 NFC 感应供电，芯片和天线封在同一张薄卡里，没有空间另外塞进芯片、电池和移动网络模块。照这次的手法，攻击者在卡片上找不到下手的地方，所以卡片型钱包能降低这类植入攻击的风险。
卡片的风险则在别的地方。交易内容由手机显示，手机的安全就更重要。卡片本身也要收好，最大的风险是落到别人手上。
带屏幕的款式可以在设备上核对交易，不带屏幕的卡片则要靠手机显示。没有哪一种冷钱包能挡下所有攻击，两种都要从官方渠道购买，也都要做好备份。
认识冷钱包
冷钱包又叫硬件钱包，是专门保管私钥的小设备。转账时由设备签名，私钥不会暴露在联网的环境里。
放在交易所的币，是交易所帮你保管。手机或电脑上的热钱包，私钥存在一台天天联网的设备上。冷钱包把私钥拿到自己手上，也和网络隔开，这是多数人长期存币会用它的原因。
代价是，备份要自己负责。
买冷钱包前，先检查这几件事
- 只跟官方商店或授权经销商买。 第三方平台卖家、二手、代购都跳过。
- 异常便宜的不要买。 比官方便宜很多，通常有原因。
- 助记词已经写好的，直接退货。 新钱包应该由你按官方流程自己创建，不要使用卖家附上的助记词。
- 检查包装。 封条、胶膜、盒子有被拆过的痕迹就不要开机。
- 进行一次官方真伪验证。 它挡不住每一种攻击，但能挡掉很多仿冒品。
- 助记词永远不输入手机或任何网站。 遇到要你提供助记词的客服消息或验证网页，直接停止操作。
收到冷钱包后怎么设置？
- 开箱前再看一次包装，拍照留底。
- 先查官方最新的安全公告。设备或购买渠道在警示范围内的话，先不要设置，按官方指示处理。没问题再用官方 App 进行真伪验证。
- 创建新钱包并设置 PIN 或访问码。用助记词备份的机型，让硬件设备生成新的助记词，不导入任何别人给的助记词。Tangem 若用无助记词模式，要在首次设置时完成所有备份卡的配对。
- 用助记词备份的机型才需要抄写。手写在纸上，不拍照、不截图、不存到云上，抄的时候避开旁人和摄像头。
- 先转一小笔进去，再试着转出来，确认能收款也能转账，再转入大额资产。
- 纸质助记词或备份卡分开收在不同地方，并让信任的家人在紧急时知道去哪里找。
小企鹅的选择
我手边有五款左右的冷钱包，最后选择的是 Tangem。
2025 年黑色星期五前，我在 X 上说想买一个不用电池的冷钱包，当时在 OneKey 1S Pure 和 Tangem 之间犹豫。Tangem 我自己掏钱买了两组。
不管你最后选哪一款，Ledger 这次给所有人的提醒都一样：先确定卖你的人是谁，再来比规格。