硬件钱包领域曝出一起供应链安全事件。综合多条报道，此次攻击并未通过远程方式破解设备，而是有恶意组件在设备流通环节被植入，该组件具备解码助记词并将之外传的能力，相关设备经东南亚经销商渠道售出，最终到达用户手中。链上机构估算，此次事件造成的损失或达1.03亿美元，波及Ledger、OneKey、Trezor、SafePal等多家硬件钱包厂商。目前，围绕该事件的多条独立报道已被整合为同一事件持续追踪。
事件进展：恶意组件经经销商渠道流入用户手中
从已披露的信息看，问题的关键节点不在设备本身的设计或固件更新环节，而在产品从出厂到交付用户之间的流通链条。用户在正常使用钱包、并按照标准流程备份助记词的过程中，敏感信息可能已经被第三方获取，且这一过程对用户而言难以察觉。相关设备通过东南亚经销商售出这一细节，意味着攻击者选择的切入点具备渠道属性，而非针对单一用户的定向攻击。
波及范围：四家硬件钱包厂商被点名
据现有报道，此次事件波及Ledger、OneKey、Trezor、SafePal等多家硬件钱包厂商。硬件钱包长期被加密资产用户视为私钥自持的核心工具，其安全假设建立在私钥始终不离开离线设备这一前提之上。一旦助记词在设备内部被解码并外传，上述安全假设即被打破，用户资产将直接暴露于风险之中。报道同时指出，事件对硬件钱包用户信心以及整个行业的安全体系均产生深远影响。值得注意的是，风险牵涉多家厂商，说明问题并非局限于单一品牌或单一产品线，而指向更广泛的渠道与供应链管理环节。
损失估算：链上机构测算或达1.03亿美元
在损失规模方面，链上机构给出的估算为或达1.03亿美元，另有口径将其概括为疑似损失约1亿美元。需要说明的是，该数字属于机构基于链上数据作出的测算结果，并非最终确认的损失金额。随着后续排查推进，受影响地址数量与被转移资产的规模仍有可能出现变化，相关数据的准确性也有待更多独立来源交叉验证。
事件性质：供应链成为安全链条的薄弱环节
与私钥泄露、钓鱼攻击等常见风险不同，此次事件的问题出现在产品交付之前。经销商作为厂商与用户之间的中间节点，一旦被利用，恶意组件可以在用户无感知的状态下完成部署，用户侧的常规安全习惯难以提供有效防护。对硬件钱包行业而言，这意味着厂商对渠道的管控能力、设备完整性与防篡改机制，成为需要重新审视的环节。
行业影响：自托管模式信任基础受到考验
硬件钱包是加密资产长期持有的主要存储方案之一，其安全性直接关系到用户对自托管模式的信任程度。此次事件同时涉及多家厂商，进一步放大了市场对硬件钱包整体安全性的关注。在自托管需求持续存在的背景下，用户对硬件钱包的信任一旦受到冲击，可能影响整个自托管生态的安全叙事，并促使行业重新评估设备出厂、物流、经销与终端交付各环节的验证机制。
后续关注方向
后续需要关注的主要方向包括：涉事厂商对事件的回应与排查进展、受影响设备批次与流通渠道的确认情况、链上损失规模的进一步核实，以及硬件钱包行业在供应链与经销商管理方面是否会形成新的安全规范或标准流程。在事实进一步明确之前，本文内容均以已披露信息为准。
