Ledger首席执行官与前Mt. Gox负责人就9000万美元硬件钱包被盗事件公开争执

Ledger首席执行官帕斯卡尔·戈捷（Pascal Gauthier）与前Mt. Gox首席执行官马克·卡佩莱斯（Mark Karpélès）就警告关于涉及约9000万美元加密货币盗窃的改装硬件钱包一事发生了公开冲突。戈捷在批评该公司对篡改钱包发出的警告后，对卡佩莱斯提出了挑战。尽管卡佩莱斯引用了三月发布的安全指南，但其九月的更新使得原始内容的确定性存疑。

Ledger承认，当原始安全芯片幸存时，其“真品检查”功能无法检测到添加的间谍组件。研究人员估计损失超过9000万美元，尽管Ledger尚未公开确认最终被盗金额。在调查人员发现用于远程捕获钱包助记词的改装设备后，该公司暂停了CryptoBilis的销售业务。

社交媒体上的激烈交锋

在10月17日X平台（原推特）的一次交流中，卡佩莱斯质疑该钱包制造商是否在客户报告通过东南亚经销商CryptoBilis销售的设备涉及损失之前，足够清晰地传达了复杂间谍植入物的危险。戈捷捍卫了Ledger的安全工作，并反驳了这位前交易所高管的批评。

更正：我之前说@Ledger完全没谈论过植入物情况，尽管他们知道——他们在2026年3月发布了一个学院话题，讨论了这一点，并建议直接购买或从授权经销商处购买。https://t.co/UUNH1H2L3D— 马克·卡佩莱斯 (@MagicalTux) 2026年10月17日

此次争端源于在一台真正的Ledger设备内部发现了未经授权的电子元件。调查发现，额外的硬件可以在设置期间捕获钱包的24个单词的恢复短语，并通过蜂窝连接将其传输出去。研究估计疑似损失超过9000万美元。Ledger并未将该数字确立为最终验证总数，卡佩莱斯声称早期警告本可以防止这些损失的论点也未被证实。

沟通不足还是证据确凿？

分歧始于卡佩莱斯质疑Ledger早期关于其硬件钱包物理修改的沟通。在10月17日发布的一篇帖子中，他纠正了自己之前的说法，即Ledger在最新事件发生前未讨论此类植入物。卡佩莱斯承认，该公司曾在三月发布了一篇涵盖与篡改设备相关风险的安全文章。然而，他认为鉴于后来发现的设备的复杂性，在教育部分发布指导是不够的。

他表示，更突出的警告本可以防止超过9000万美元的损失。戈捷回应称，公司致力于保护客户，外人应将既定事实与推测区分开来。Ledger首席执行官写道，这项工作很困难，承认卡佩莱斯对讨论的贡献，并要求他将评论限制在他能够证实的内容范围内。

当戈捷提到卡佩莱斯此前领导失败的Mt. Gox交易所时，交换变得更加对抗。“来自Mt Gox CEO……拜托，伙计。你不是什么白骑士。面对现实吧。”戈捷写道。根据提供争端的帖子显示，Mt. Gox在2014年因大量比特币损失而崩溃，留下债权人面临漫长的回收过程。卡佩莱斯回应称，他自己经历重大交易所失败的经历，正是期望处理客户资产的公司加强安全沟通的理由。

三月指南引发关于早期知情权的疑问

这场争议的核心是一篇题为《安全购买Ledger Signer的最佳实践》的安全文章。Ledger网站列出的原始发布日期为2026年3月6日，最新更新为9月18日。当前版本解释了犯罪分子在设备到达客户手中之前干扰硬件钱包的几种方式。它涵盖了假冒设备、预置恢复短语的钱包以及出厂后经过修改的真品设备。

其关于物理篡改的部分描述了攻击者添加未经授权组件以捕获钱包设置期间显示的信息。页面包含改装电子产品的图片，包括隐藏在钱包硬件内部的电路板和组件示例。卡佩莱斯指着这些插图，论证Ledger早在十月揭露事件前的几个月就遇到了复杂的植入设计。

然而，文章的九月修订造成了一个未解之谜。目前可访问的版本并未确定每张照片或技术警告是何时添加的。如果没有三月出版物的存档副本或详细的修订历史记录，这些图片无法独立证明Ledger在当时就知道针对特定CryptoBilis攻击的情况。了解修改硬件钱包的一般方法与有文件记录地意识到犯罪分子已将此类设备放入经销商库存是不同的。现有材料并未建立Ledger何时首次得知受影响的CryptoBilis设备，或者安全文章是否指的是这些特定的植入物。因此，争议部分集中在发布一般安全指南与发出针对特定威胁的警告之间的差异。

真品检查无法检测所有隐藏植入物

Ledger自己的文件确认了其设备身份验证系统的一个重要局限性。该公司的“真品检查”验证安全元素（Secure Element，用于执行敏感钱包操作的受保护芯片）的加密身份。在设置过程中，Ledger软件向设备发送验证请求。安全元素使用与其原始制造过程相关的唯一加密签名进行响应。

成功的响应确认设备包含真实的安全芯片。该检查不检查钱包内的每个物理组件，也不确立在生产之后没有人修改过设备。Ledger的安全指南指出，当原始安全元素保持完整时，身份验证过程无法检测到未经授权的物理添加。

在CryptoBilis案中，恶意电子设备据报道与合法硬件并行运行，允许设备的原始安全功能保持功能正常。调查人员描述了一个位于屏幕附近的植入物，它可以捕获初始化期间显示的恢复词。恢复短语允许钱包所有者恢复对加密货币地址的控制。任何人获得完整的短语都可能在不拥有原始设备的情况下访问相关资金。

据报告的植入物使用蜂窝连接来传输捕获的信息，避免了攻击者在设置后需要物理取回钱包的需要。Ledger表示，这一发现并不能证明其安全元素、操作系统或交易签署过程受到损害。据报告的袭击涉及分销过程中的设备物理干扰。先前的报道详细说明了额外的电子设备如何在不替换受保护安全芯片的情况下读取恢复词。另一份关于调查的报告记录了Ledger对客户设备中发现未经授权组件的确认。

CryptoBilis调查继续，损失估算存在争议

Ledger开始调查通过东南亚经销商CryptoBilis购买硬件钱包的客户投诉。10月9日，该公司要求CryptoBilis暂停销售和发货，同时调查人员审查关于加密货币丢失的报告。建议在过去90天内从该经销商购买设备的客户不要初始化未使用的钱包。

Ledger建议已设置设备的受影响客户将资金转移到使用可信设备上新生成的恢复短语生成的钱包中。随后的调查证实，至少一台被检查的钱包包含能够收集恢复信息的未经授权电子元件。随着调查人员确定可能相关的地址和交易，报告的盗窃总额在不同估计中有所不同。

Galaxy Research在其10月16日的分析中描述了约9100万美元的疑似损失。不应将此数字视为通过每台改装Ledger设备最终被盗的金额，也不应视为对早期警告本可防止什么的验证措施。德国一起篡改钱包的报道导致零售商在调查继续的同时检查其分销安排。因此，该事件涉及对经销商监督的问题以及单个设备内置的技术保护问题。

Ledger当前的购买指南建议直接从公司或通过授权卖家购买，检查可见的篡改痕迹，并通过官方软件完成身份验证。它警告说，授权分销和成功的真品检查不能保证钱包从未在物理上被修改。公司的文件规则禁止授权经销商将退回的设备重新放入库存进行转售。其安全指南于9月18日更新，早于十月份开始的公共CryptoBilis调查数周。