錢包經銷商捅出的漏洞：100美元責任上限無法彌補9,000萬美元損失

10月13日下午，Ledger發布事件以來最長官方更新，詳述攻擊手法至元件層級：植入模組藏於裝置外殼內，『讀取螢幕顯示之資料』——初始化時，裝置於螢幕顯示24字助記詞，該模組透過微控制器識別並解碼，再經預設eSIM透過LTE傳送出去。

更關鍵的是後續澄清：此植入模組為獨立元件，不修改安全晶片、不修改作業系統、不竄改交易或簽章。晶片屬原廠正品，系統未遭篡改，每筆交易均由用戶親自確認——產業教導用戶的所有驗證步驟，本批次裝置皆通過。助記詞僅在螢幕短暫顯示數秒，卻多了一雙眼睛。

然而，此更新僅回答『裝置內部發生何事』，未回應『受損用戶如何處理』。在164則回覆中，最受關注的追問幾乎全相同：若從授權經銷商購得遭竄改裝置並致財務損失，Ledger是否承擔責任並賠償？歐盟MediaMarkt管道用戶又如何？Ledger立場為：所有已確認財務損失均涉及CryptoBilis銷售之裝置，其他管道『尚未驗證』。

四天前，僅是『某公司經銷商出問題』；如今已成整個硬體錢包產業必須共同回答的問題：裝置離廠那一刻起，設備完整性由誰負責？

一、從單一經銷商到供應鏈

10月9日，東南亞用戶通報資產遭轉移；10月10日，Ledger確認一名受害用戶裝置內含未經授權硬體植入，取得首項實體證據；同日，CryptoBilis宣布暫停Ledger裝置銷售與出貨。一家授權經銷商、一批受害用戶、一次切割——至此敘事近乎完整。

但接下來數日，每條新線索皆擴展此框架。

第一項異常在裝置本身。多數已確認遭竄改裝置為全新品，非退貨機。產業默認風險模型向來是『用戶購買新機→機器遭竄改→退回→下一位客戶受害』，假設竄改發生於售出後；全新機即遭竄改，代表竄改發生於任何用戶取得前——問題從『通路中某一環節』轉為『倉儲階段某一步驟』。

第二項異常在工藝水準。Karpelès於部落格比對早期樣本與最新樣本：前者顯露明顯手工痕跡，後者似為按需量產。若此觀察成立，竄改並非個人臨時起意，而是具備大規模生產植入模組能力之供應鏈。供應鏈相關數字亦持續上調：Specter初估逾8,600萬美元，Bitquery於10月12日分析324個錢包及多條鏈，估算約1.02億美元——Ledger卻僅表示：『尚未確認受影響用戶總數及損失總額』。

隨後線索開始跨境。歐洲方面，用戶Johannes報告自兩家不同MediaMarkt門市購得兩台遭竄改裝置，並請店員查庫存記錄，其中至少一台來自Aqipa GmbH——涵蓋全歐洲之分銷商，潛在影響範圍遠超德國。亞洲方面，Karpelès裝置購自Amazon日本站，由中國賣家發貨、馬來西亞寄出；研究機構Tibane Labs所揭露之日本Nano X賣家管道，亦由馬來西亞寄出。相距數千英里的兩條線索，指向同一寄送地點。

供應鏈另一端同樣專業。Tether於首日凍結1,000萬USDT，攻擊者立即將1,500萬USDT兌換為Tether無法凍結的USDD，再轉回約510萬USDT，其中約423萬流入幣安充值地址；2,810 ETH分三批進入Tornado Cash。截至10月11日，攻擊者手中仍有15,475 ETH、203 BTC及1,000萬USDT。CZ提出更激進推測——攻擊者收買該經銷商並簽署保密協議使其緘默；此說法尚未驗證，但供應鏈之專業性毋庸置疑。

綜合上述線索，難以解釋為『偶然事件』：被收買之經銷商屬偶然，能跨國量產竄改且規避凍結之供應鏈則屬漏洞。前者可藉下架清單處理，後者則無法。Ledger雖宣稱正開發更強硬體防竄改措施，卻未說明細節或實施時程；其提供之自我檢測方案，係要求用戶比對元件照片自行檢查裝置，但官方教學同時警示：拆機可能造成損害。須用戶自行拆機方能完成之驗證流程，正凸顯產業至今尚無解答。

二、同行如何因應

事件之外，各廠商回應差異更具啟發性。事實上，CryptoBilis不僅銷售Ledger，亦銷售Trezor、CoolWallet、Tangem、OneKey、SecuX、Ellipal等眾多硬體錢包。

事件爆發當日下午，Keystone中文帳號貼文介紹Keystone 3 Pro之PCI級自毀功能：一旦偵測物理拆解或竄改，即自動清除晶片資料，使裝置失效。此推文獲4.2萬次觀看。它精準擊中本次攻擊致命弱點——植入模組須開殼安裝，而自毀機制將『靜默安裝』轉為『一裝即毀』。正因其選在此時推出，反而凸顯尷尬現實：產業其實早有技術解答，但此前無人認為有必要落實。

多數廠商首波回應皆為劃清界線。Trezor已將CryptoBilis除名於授權列表，並停止該通路銷售，同時提醒用戶勿自行拆機；imKey則表示尚未收到相關回饋，將核查授權管道。

SafePal 強調其裝置於初次設定時會驗證真偽與使用狀態，若偵測到已啟用過的裝置即發出警告，並顯示首次啟用日期；同時採用防竄改封條，以辨識包裝是否曾被開啟。Tangem 更進一步，從架構層面杜絕竄改可能：安全晶片與 NFC 天線一體封裝，私鑰於晶片內生成並簽署，工廠寫入之韌體無法修改——「無論用戶透過官方商店、經銷商或其他管道購買，只要應用程式驗證裝置為正品，即可確保私鑰完全由使用者自主掌控。」

但 Tangem 的聲明恰恰迴避了核心問題：驗證本身能否自我驗證？事實上，Ledger 的 Genuine Check 僅能確認安全晶片為真品，卻無法偵測晶片周邊元件是否遭實體竄改——植入模組的裝置仍可通過真偽檢測。再嚴密的通路管控，也僅能降低風險機率，無法徹底消除風險。

面對市場質疑，OneKey 宣布自今年三月起，凡經該通路購入之用戶皆可無條件免費更換新裝置，無須寄回舊機；同時全面重新審查現有經銷商，聲明「若營運主體無法驗證，或最終受益人無法釐清，即撤銷授權」，並承認「經銷商網絡將大幅縮減。」

III. 100 美元：揭露的賠償責任上限

OneKey 免費更換消息傳開後，社群開始檢視其用戶協議，不料反而引發 OneKey 自身的重大公眾危機。

現行《服務協議》第 15.5 條規定：若 OneKey 被認定對用戶負有責任，其累計賠償責任上限不得超過以下三者中最高者：(a) 裝置實際購入價格；(b) 事件發生前 12 個月內用戶就付費服務所實際支付之費用；(c) 100 美元（USD 100）。此外，此為「單一累計上限」，多重索賠、多次事故或多重法律依據均不會提高金額。

第 15.4 條更為徹底：在適用法律允許之最大範圍內，OneKey 對任何數位資產之損失或損害概不負責，不論成因為何——裝置與應用程式僅為金鑰管理工具，不提供資產保險或保證。第 15.6 條說明理由：應用程式及多數服務免費，裝置售價不含資產保險，OneKey 從未持有用戶資產或憑證，亦不知曉用戶儲存資產金額。第 15.10 條保留退路：OneKey 可酌情決定提供補償、更換或其他協助，但此類措施純屬善意表達，不構成責任承認、不設先例、不產生對任何人之義務，且可能要求用戶簽署免責聲明作為前提。

須明確指出，此非 OneKey 獨有做法。OneKey 官方已列舉其他硬體錢包品牌，其用戶協議同樣包含極低賠償條款。以裝置售價或固定小額金額作為責任上限，已是硬體錢包產業常見條款設計。真正值得探討的，是當此條款與「免費更換」並列時所暴露出的落差：

一端是售價數百美元的新裝置，願意額外承擔 180 天主動責任；另一端則是將責任上限鎖定於 100 美元、並明載「任何協助均不構成責任承認」的合約。兩者商業上皆有效，但用戶感受卻陷入撕裂——企業道德得分可達 120 分，合約承諾卻僅限 100 美元。而這 100 美元，恰恰是風險真正降臨用戶身上時，唯一能提出來的數字。

這反映整體類別的結構性落差。自我託管的整個倫理基礎是「用戶自行管理金鑰，故須自行承擔後果」。此前提在此事件中首次出現裂痕：遭突破的環節——從工廠至倉庫、從經銷商至用戶門口——正是用戶完全無法控制或驗證的部分。責任全數轉嫁予用戶，風險控管權卻仍掌握在製造商手中。

硬體錢包向來銷售的是「工具」，而非「託管」。當工具本身成為攻擊面，「工具不負責任」的敘事正迎來首次真正的壓力測試。

IV. 2026 年：硬體錢包的『實體之年』

擴大視野，本次事件是今年一連串問題中最新、代價最昂貴的一樁。

2026 年，六家硬體錢包品牌已披露安全性問題，但僅兩起導致用戶實際損失：七月，Coldcard 韌體熵值不足，致使助記詞遭推測破解，據 Galaxy Research 統計損失逾 1.15 億美元；本次 Ledger 供應鏈遭入侵，造成約 9,000 萬美元損失。總計約 2.05 億美元。業界分析機構 Wise Advice 評估：「2026 年或將成為硬體錢包安全性史上最瘋狂的一年。」

其餘問題分散於同一鏈路上不同位置：六月，Ledger 安全團隊以雷射穿透 Trezor Safe 7 晶片；七月，穿透 Tangem 卡片（兩者皆需實驗室設備，Tangem 聲稱對一般用戶風險「幾乎不存在」）；BitBox 於八月修復工程師判定為「嚴重」的多項韌體漏洞，未造成損失；Trezor 物流供應商洩露 13,689 名買家資訊；SafePal 洩露近 4 萬筆家庭住址。

今年尚無安全晶片於實驗室外遭真正攻破。攻擊者繞過密碼學，轉而針對相鄰環節——亂數品質、物流單據、經銷商倉庫、用戶門口交貨等。

產業正尋求解答，但尚未形成共識。慢霧科技創辦人余弦認為：「自毀機制將成為必要功能……否則需另設機制證明我手中的硬體錢包確為原廠本意所產」；Mindao 反駁指出，一旦自毀便無法證明是否遭竄改，而可拆卸部件至少能比對電路圖；Ledger 實際已在開機時提供硬體完整性檢查，只是對一般用戶而言「太硬核」；另有建議最簡方案——跨品牌多重簽章，由 Trezor、OneKey、Keystone 各持一鑰，透過 Sparrow 或 Electrum 實作三分之二簽署，「以防一方作惡。」

以上所有建議均未包含「購買更佳晶片」。它們共同指向一事：安全邊界已從晶片擴展至晶片之外。

結論

『私鑰從未離開裝置』，是硬體錢包產業十年來持續銷售的承諾。在本次事件中，此承諾字面上成立，卻毫無意義。

安全元件未遭修改，作業系統未被竄改，每筆交易均由使用者確認，且24個助記詞從未離開該晶片。這毫無意義，因為金鑰根本無需離開裝置——只需在螢幕上短暫檢視數秒即可。真正遭入侵的並非密碼學機制，甚至也不是晶片本身，而是「驗證」這一動作本身：真實性檢查（Genuine Check）雖可驗證晶片真偽，卻無法驗證螢幕旁觀看者的眼睛是否可信。

因此，產業亟需汲取的教訓，並非加強通路管理，而是讓裝置自行證明自身完整性，將驗收標準從「晶片為真」升級為「整機為原廠正品」——自毀機制或將從選配轉為標準配備，此一變革比任何縮減經銷商名單的措施更為根本。

責任歸屬問題仍未解決。此產業常見的契約設計，是將服務義務設得極重，卻將累計賠償責任上限限定於單一裝置售價或一固定小額數。這或許並非推諉責任，而是精準反映了本產業的責任結構：它提供工具，而非管理資產。真正的問題在於，使用者長期以來一直相信自己購買的不只是工具。