作者：邵嘉碘
Ledger近期卷入一场资产损失风波。部分东南亚用户反映，他们从经销商CryptoBilis购买硬件钱包后，钱包内资产被转走。10月9日，Ledger表示已展开调查，要求这家经销商暂停销售和发货，并提醒近期购买者暂缓设置设备，已经完成设置的用户考虑迁移资产。
10月10日，Ledger进一步披露，一名受影响用户的设备中发现了未经授权的硬件植入物。公司当时称，已确认该案例与这家经销商售出的设备有关，暂未发现Ledger自身安全基础设施、系统或服务被入侵的迹象。
Bitquery统计显示，相关资产转出涉及315个钱包，金额约为9320万美元。该数据来自第三方统计，Ledger尚未确认最终损失规模。截至10月12日，设备究竟在哪个环节被改动，以及植入物是否与全部损失有关，仍在调查中。
不少用户选择硬件钱包，本就是为了更稳妥地保管资产。现在，用户报告的损失与设备异常同时出现，市场担忧随之升温。攻击原因仍需专业检测确认，而这项发现能否解释全部损失，目前也没有完整结论。对其他钱包团队来说，这起事件已经把一个问题摆到台面上：用户信任一款钱包时，究竟在信任哪些环节。
图源：The Block，2026年10月9日报道。截图中的金额为早期估算，损失规模仍在核查中。
更让人不安的是，CryptoBilis此前曾出现在Ledger官网的官方授权经销商名单中。用户去官网核对名单，再通过授权渠道下单，本身就是在主动规避风险。如今，这条购买路径也进入调查范围。对其他硬件钱包和非托管钱包 App 来说，问题变得更直接：当用户把信任交给品牌时，厂商对外作出的承诺和实际承担的责任，是否已经说得足够清楚。
“官方授权”带来的信任，品牌不能轻描淡写
普通用户很难知道设备出厂后经历了哪些流转环节。很多人之所以选择授权经销商，是因为默认品牌已经对渠道做过筛选。经销商一旦出问题，用户自然会向品牌寻求解释和帮助。
例如，有用户担心买到假货，专门到品牌官网查询经销商名单，再去名单中的店铺下单。这家店能获得信任，既来自店铺自身，也来自品牌推荐。如果设备后来出现问题，用户很难接受品牌和卖家互相让其“去找对方”。这种反应可以理解，至于法律责任如何划分，还需要进一步查明。
品牌与经销商通常是两个不同的经营主体，双方合同如何约定、售后如何分工，用户往往并不知情。授权具体包含哪些内容，品牌参与了哪些环节，发生异常后由谁提供帮助，如果这些对外表述较为含糊，用户预期与实际安排之间就容易出现落差。
用户未必关心品牌和经销商内部如何管理、如何协作，但这些安排会直接影响事故发生后的处理效率。品牌对渠道拥有多大管理权限，异常由谁上报，谁负责联系用户，谁承担售后支持，最好在合作阶段就有清晰约定。
从合同角度看，这类约定的意义在于减少事故后的争议。经销商能否提供购买记录，品牌能否直接联系相关用户，双方如何配合调查，都会影响事件推进。至于具体采用什么渠道管理方式，还要结合业务和安全团队的判断；至少，合作双方应当清楚自己承诺了什么，出了问题需要配合什么。
品牌是否承担责任、承担多少责任，要看设备到底出了什么问题、各方曾作出哪些承诺，以及相关行为与损失之间是否存在联系。但既然“官方授权”已经参与了用户的购买决策，品牌就需要认真对待由此形成的信任。
对其他硬件钱包厂商来说，授权关系也值得重新审视。官网推荐某个渠道时，用户会如何理解这项推荐；合作期间如果发生变化，原有安排是否还能发挥作用；这些问题都与品牌如何使用“官方授权”四个字有关，也关系到用户发生损失后会向谁主张权利。
安全能力能覆盖到哪里，说明就该写到哪里
Ledger安全研究团队Donjon在公开资料中说明，Genuine Check主要用于验证安全芯片的真实性。在原始安全芯片保持完整的情况下，一些额外的硬件改动可能无法被识别。这项检查也不能验证设备完整的销售和交付过程。
对普通用户来说，“验证通过”很容易被理解为“设备安全，可以放心使用”。如果产品实际检查范围更窄，这种差别就有必要讲清楚。安全提示能否让普通用户看懂，本身也是产品承诺的一部分。
难点在于，技术团队和普通用户对同一句话的理解可能并不一致。技术人员知道某项检查验证的是哪个部件，用户看到的可能只是一个绿色标记。检查本身完成了既定任务，用户仍可能高估它提供的保护范围。产品说明需要照顾这种理解差异。
如果购买页面反复强调安全，而关键限制只放在用户很难找到的说明中，争议出现时就可能形成两套说法：厂商认为自己已经解释过，用户则认为在购买和使用过程中从未被提醒。是否构成误导、提示是否充分，要看具体页面内容和适用法律；但把限制写得更清楚，确实有助于减少分歧。
非托管钱包 App 也面临类似问题。“代码开源”“经过审计”“私钥由用户保管”，这些表述各自说明了产品的某个特征，但用户可能据此形成更广泛的安全预期。厂商在宣传时准确说明能力边界，有助于减少误解，也能减少后续责任争议。
例如，一款 App 介绍自己经过安全审计，用户可能会把这句话理解为今后使用都很安全；但审计通常对应特定对象、版本和范围。把这些信息交代清楚，并不会削弱产品已经具备的能力，反而能让用户理解，一份审计报告究竟支持了哪些说法。
钱包厂商当然很难保证所有风险都被消除。更关键的是，对外承诺是否与实际能力一致，重要限制是否已经让用户知晓。宣传内容、安全说明和用户协议之间的差距越大，出事后围绕“当初到底承诺了什么”的争议就越容易出现。
图源：Ledger Donjon官网，2026年10月12日截图。页面说明了Genuine Check对额外硬件改动的检测局限。
私钥由用户保管，不等于产品和服务没有责任
非托管钱包通常由用户掌握私钥或签名权限。用户需要保管好恢复信息，也要认真核对交易内容。但用户仍然依赖厂商提供设备、软件和页面信息。如果这些环节出现问题，“我们不保管私钥”并不能回答事故原因，也不能直接说明责任归属。
用户在使用非托管钱包时，可能自己负责签名，但其看到的交易内容、使用的兑换入口、收到的软件更新，仍然来自钱包及其合作方。这里涉及不同参与者，也对应不同职责。资产由用户控制，并不意味着这些服务关系随之消失。
举例来说，用户在钱包中使用一项第三方兑换服务，后来发现交易出现问题。用户需要知道服务由谁提供，钱包参与到哪一步，问题发生在哪个环节。钱包可能只是展示了入口，也可能参与了交易内容的生成和展示；不同情形，对责任判断会产生不同影响。页面上的品牌标识和合同中的“第三方服务”，都需要放回实际流程中审视。
从律师视角看，产品承诺、风险说明、合作合同和用户协议，都是讨论这些问题的重要材料。它们有助于还原各方约定，但还需要与实际交付的产品和服务相互对照。一个笼统的“非托管”标签，并不足以说明全部关系。
用户泄露助记词，与设备缺陷、软件漏洞或误导性宣传引发的损失，在责任判断上会有差别。用户协议可以约定各方职责，但免责条款是否有效，还要看适用法律和具体情况。就Ledger这次事件而言，仍需等待调查补全事实，再讨论赔偿问题。
事故发生后的沟通，也会影响用户是否继续信任产品。调查尚未结束时，厂商可以说明目前掌握的事实、正在处理的问题，以及用户可以从哪里获得帮助。对于尚未确认的内容，保留必要空间，比仓促保证“没有问题”更稳妥。
暂停某个渠道、协助调查、提供替换设备，都是事故处理中可能采取的具体措施。赔偿责任仍需根据调查结果和各方约定判断。资产能否追回，还涉及资金流向以及相关机构的权限。用户需要知道，当前可以获得哪些支持，后续又该如何处理自己的诉求。
事件留下的核心问题
Ledger事件的技术原因，仍有待专业团队查明。文章从法律和责任边界的角度提出，官网上的授权、页面中的安全说明、协议中的责任安排，是否能与用户实际获得的产品和服务对应起来，是这起事件之外更值得行业反思的部分。
对其他钱包团队来说，也可以借此重新检查自身业务。用户自己掌握资产，确实需要承担相应保管责任；厂商提供什么、承诺什么，同样需要说清楚。各方对这些问题理解越一致，平时越能减少误解，出现问题后也更容易讨论下一步如何处理。
