Beosin 发布链上追踪分析称，10 月 9 日至 10 日发生的 Ledger 硬件钱包供应链攻击已造成超过 8600 万美元损失，受害者地址主要关联到东南亚 Ledger 授权经销商 CryptoBilis 的买家。Beosin 通过 Beosin Trace 对当前主要被盗资金流向进行了梳理，覆盖金额约 4300 万美元。
事件时间线与攻击方式
根据文中披露的信息，9 月 16 日，Mt. Gox 前 CEO Mark Karpelès 发文称，有 Ledger Nano X 钱包被植入了间谍模块。
10 月 8 日，Mark Karpelès 再次发帖展示植入细节，并表示如果用户从不正规的商家渠道购买 Ledger 钱包，设备可能被植入间谍芯片，用于监控屏幕并外传助记词。相关帖子随后在加密社区获得大量曝光。
10 月 9 日至 10 日，大量 Ledger 钱包中的资产被转移并归集，涉及 Ethereum、Tron、Bitcoin、Solana 等多条链。此后，Ledger 官方表示，正在调查东南亚用户从 CryptoBillis 购买设备后出现资金丢失的情况，并要求经销商暂停所有销售与发货。
此次攻击之所以能够成立，原因在于 Ledger 的安全元件（Secure Element）虽然可以保护私钥不被直接读取，但无法阻止外围硬件截取屏幕显示内容。被篡改的设备也能够通过 Ledger 官方的 Genuine Check 验证，因为攻击者并未改动原有安全芯片，验证系统无法识别外围硬件的物理篡改。
Ethereum：部分 ETH 已进入 Tornado Cash
Beosin 列出的 Ethereum 链攻击者资金归集地址包括：
- 0x69c8f401cfc6cd40ac94691d6d7c48e3b7a47841
- 0x033636e45d519bebb7b5c2520ca6ce56fbdb4f7a
- 0x83aeac166f6832ae3500000a24510a95a052a599
其中，地址 0x033636e45d519bebb7b5c2520ca6ce56fbdb4f7a 归集了 1026.9 ETH，价值约 257.4 万美元；地址 0x83aeac166f6832ae3500000a24510a95a052a599 归集了 700 ETH，价值约 175.4 万美元。这两部分资金截至发文尚未进一步转移。
地址 0x69c8f401cfc6cd40ac94691d6d7c48e3b7a47841 共归集 1141.5 ETH，价值约 285.5 万美元。其中 441.5 ETH 已被转出，并被分批转入 Tornado Cash 进行混币。截至发文，已有 411.5 ETH 进入 Tornado Cash。
Tron：部分 USDT 被冻结，部分已换成 USDD
Tron 链上，Beosin 标注的攻击者资金归集地址包括：
- TK6DWNpNe1w2iJRNFpU8aHdrPTATxvXT6C
- TBkcUMYC7CkTK99tkTnaStQVBastfrs9d9
- TCGE3xp6YGRKXxDZiLfysgJW3f22KfMNsW
- TSDWtuZ2pARUVz4v3PkL2hi3iXPjowAr5a
被盗资产为 TRX 和 USDT。Beosin 表示，其中约 934.7 万美元 USDT 已被 Tether 成功冻结。不过，地址 TK6DWNpNe1w2iJRNFpU8aHdrPTATxvXT6C 归集的 USDT 中，有 500 万 USDT 已被攻击者兑换成 USDD，从而避开了 Tether 的冻结行动。
另一地址 TSDWtuZ2pARUVz4v3PkL2hi3iXPjowAr5a 归集了 615 万 USDT，其中 400 万 USDT 经多次转移后，通过 USDD-USDT PSM 和 SunSwap 兑换成 USDD，以规避冻结。其余资金则借助 Near Intents、Bridgers 等跨链协议继续转移。被盗的 TRX 价值约 22.3 万美元，也已全部兑换成 USDD。
Beosin 还提到，这一路径与其此前分析新币担保资金迁移时观察到的模式相似。为躲避 Tether 冻结，Tron 生态中的非法资金往往会借助 USDD[io]、SunSwap、Justlend 等 DeFi 协议，以及去中心化稳定币 USDD 进行清洗。
Bitcoin：大额 BTC 仍停留在归集地址
Bitcoin 链上，地址 bc1qjqgwejnp8dc0x2938x9n9954hj97t82unx49dl 归集了 92.5 BTC，价值约 767.3 万美元，截至目前未见进一步转移。
地址 bc1qqnkwurxs99xkx5t4yffqhq3u6qwy0qpjyujtm9 归集了 111.28 BTC，价值约 923.1 万美元，截至目前同样未进一步转移。
另一个地址 bc1qgqheemzla77pesl227hdtgf5ykz62d0zvld26n 归集了 9.96 BTC。Beosin 称，攻击者已开始分散转移这部分资金，其中约 3.52 BTC 已通过 Near Intents 完成跨链隐私交易。
持续监测与事件背景
Beosin 表示，目前所有相关地址已被标记，并处于持续监测中，Beosin KYT 和 Trace 将继续跟踪相关黑客地址活动和后续资金流向。
文中还提到，Ledger 此前曾遭遇一次软件供应链攻击。彼时，攻击者通过钓鱼获取其前员工的 Github 账户权限，而 Ledger 未取消该员工的代码访问权限，随后攻击者发布恶意版本 Connect Kit 库，诱导用户签署盗币交易。此次则属于硬件层面的供应链攻击。
Beosin 认为，这再次暴露出硬件钱包安全中的一个根本问题：硬件钱包的安全不仅取决于设备芯片和用户操作，也取决于设备在各个供应链环节是否安全、可信。
