加密货币安全事件再次敲响警钟。链上调查员ZachXBT披露，一款名为“Ledger Live Web3”的假冒应用曾出现在微软应用商店中，诱导用户误以为自己下载的是正版Ledger Live，最终造成接近16.8枚比特币被盗，按当时价值计算约为58.8万美元。
Ledger Live原本是Ledger硬件钱包的官方配套管理界面，用于帮助用户管理离线存储的加密资产。由于Ledger品牌在硬件钱包市场拥有较高知名度，攻击者通过仿冒名称和产品形象，在官方渠道中上架相似应用，极易让普通用户放松警惕。此次事件也再次说明，即便是在大型科技平台的官方应用商店中，用户依然可能遭遇精心包装的加密诈骗。
假应用被发现，资金流向链上可查
根据ZachXBT在11月5日发布的信息，这款骗局应用通过微软官方应用商店传播。区块链浏览器数据显示，与该骗局相关的钱包地址“bc1q….y64q”共收到38笔交易，累计金额约16.8 BTC。其中，已有约11.52万美元通过两笔交易转出，钱包内当时仍留存约47.38万美元，约合13.5 BTC。
从时间线来看，相关诈骗地址在10月24日收到首笔资金，金额约5210美元，而在此之前该地址并无使用记录。大部分受害转账发生在11月2日之后，其中最大的一笔单次转账出现在11月4日，金额达到8.12万美元。这表明诈骗可能在短时间内快速扩散，受害者数量和资金损失集中爆发。
另据报道检索结果，这款假冒“Ledger Live Web3”应用最早可能在10月19日就已出现在微软应用商店。这意味着在被公开点名之前，该应用可能已经存在超过两周，为诈骗者提供了足够的作案窗口。
受害者出现，平台审核机制受质疑
ZachXBT表示，他在11月4日当天收到了两名受害者的私信反馈，并指出微软应当为该假应用能够进入应用商店承担责任。对于很多普通投资者而言，应用商店通常被视为相对安全的下载入口，尤其当产品与知名硬件钱包品牌关联时，用户更容易默认其已经过平台审核。
然而，这起事件说明，应用分发平台在面对加密货币相关软件时，仍可能存在审核盲区。诈骗者只需通过近似命名、相似图标和产品描述，就可能让用户误信其为官方应用。一旦用户在假应用中输入助记词、私钥或其他敏感信息，资产便可能迅速被转移至诈骗者控制的钱包地址。
这并非首次，Ledger曾多次预警
值得注意的是，这并不是假Ledger Live应用第一次出现在微软应用商店。Ledger官方支持账号此前曾分别在2022年12月和今年3月两次提醒用户，警惕微软商店中的仿冒Ledger Live应用。Ledger一再强调，下载Ledger Live的“唯一安全渠道”是其官方网站ledger.com，并明确表示官方绝不会索要用户的24个助记词。
截至原始报道发布时，Ledger尚未就本次最新诈骗事件作出正式评论，微软方面也未立即回应媒体置评请求。不过，从过往多次出现类似问题来看，单纯依赖用户自行识别风险显然并不足够，平台侧更严格的上架审核、品牌验证与下架响应机制，正变得愈发重要。
市场影响：信任成本上升，钱包安全再成焦点
从市场层面看，这类事件虽然未必直接冲击比特币价格，但会对加密资产基础设施的信任体系造成持续伤害。硬件钱包本应是加密用户进行自托管的重要安全工具，而假应用事件却让“官方渠道是否可信”成为新的风险点。对于新手投资者而言，这种认知冲击可能提高其进入门槛，进一步拖慢自托管钱包的普及节奏。
此外，事件也可能促使钱包厂商、应用商店以及安全研究人员加强协作。例如，官方软件签名验证、商店内品牌认证标识、更加显著的风险提示，以及针对高风险关键词的人工复审，都有望成为未来改进方向。对用户来说，最核心的安全原则依旧没有变化：任何应用若要求输入24词助记词，都应被高度怀疑；涉及钱包软件下载时，应优先前往项目官方网站，而非依赖第三方搜索结果或商店推荐。
总体来看，此次微软应用商店假Ledger Live事件，再次揭示了加密行业在“入口安全”上的薄弱环节。随着数字资产用户规模扩大，诈骗手法也在不断升级。无论是平台、钱包厂商还是用户个人，都需要重新审视“官方下载”这一看似基础却极其关键的安全前提。