發生了什麼：從東南亞經銷商開始，後續擴及其他通路的通報
2026 年 10 月 9 日，CoinDesk 報導 Ledger 正調查東南亞經銷商 CryptoBilis 買家的資產損失，並引述公司說法：已要求該經銷商暫停銷售與出貨；過去 90 天內購買、尚未設定的用戶先不要設定，已啟用者則考慮把資產移到使用全新助記詞的新裝置。這是當時的預防措施，並非已確認所有產品受影響。
CoinDesk 10 月 12 日後續報導稱，Ledger 已在至少一台受影響裝置發現未授權硬體植入物，當時所有已確認個案涉及 CryptoBilis 售出的裝置。這是早期調查範圍，不宜當成永久結論。The Block 10 月 13 日引述 Ledger Donjon 的說明：植入物在設定時擷取 24 字助記詞，以預先配置的 eSIM 經 LTE 傳出；公司稱它不改動安全晶片、作業系統、交易或簽章。
The Block 同篇報導指出，德國一名客戶通報含植入物的裝置，Ledger 稱該案未通報資金損失；MediaMarkt Saturn 自 10 月 13 日起暫停門市與網路販售。X 使用者 Johannes 自稱在兩家 MediaMarkt 門市買到遭改裝裝置，The Block 表示未獨立查證；Mark Karpelès 另稱新加坡機場購買的 Ledger Flex 有植入物，Ledger 未確認該裝置與本案相關。兩項個人說法與公司已確認範圍應分開。
10 月 15 日，Ledger 在官方部落格發布說明：稱犯罪集團花了數個月購買正品裝置、開殼裝入隱藏元件，再經東南亞經銷商流回市場；Ledger 已要求東南亞與香港的授權經銷商與分銷商暫停銷售，並派人到包括德國在內的市場門市抽購拆檢，也檢查倉庫樣本，稱所有檢查過的裝置都正常。Ledger 把事件定性為「局部的通路攻擊」，而非晶片、作業系統或伺服器的漏洞，並要求授權通路不得轉售退貨品、裝置不得上架陳列，改為結帳時才從後場交付。以上都是 Ledger 的說法；Ledger 至今沒有公布受害人數與總損失，也沒說明抽檢的樣本數。
損失為什麼大多落在 TRON
多家第三方機構用公開鏈上資料估算損失，數字並不一致。CoinDesk 10 月 12 日報導，Bitquery 當時追蹤到約 9,320 萬美元，YFarmX 則估計約 9,450 萬美元。Bitquery 後續把統計範圍擴大，到 10 月 16 日的版本估計共 335 個錢包、約 1.02 億美元被盜，其中 TRON 上有 151 個錢包、約 7,900 萬 USDT 外加少量 TRX，約占總額的四分之三以上。這些都是分析機構依自己的方法算出的估計，Ledger 沒有確認。
Bitquery 的報告描述，竊賊先在 TRON 與以太坊上用小額資金做了約兩週的測試迴圈，TRON 為 21 次、以太坊為 20 次。10 月 9 日 05:07（UTC）起，25 個 TRON 錢包在相鄰兩個區塊、約 3 秒內對同一地址簽署 USDT 授權（approve），每個錢包各自支付了少量手續費；首筆授權後 6 秒內，已有約 2,900 萬美元的 USDT 被拉走，其中 700 萬來自單一錢包。報告也指出，在這之前約 8 分鐘的 04:59:57，另外 30 個 TRON 錢包在 3 秒內各自付 100 TRX 手續費變更帳戶權限，全部加入同一把新金鑰（TEqZsE 開頭），且權重足以單獨動用資產，原持有人的金鑰則無法單獨操作。Bitquery 據此認為，這種多錢包同步動作代表竊賊的程式早已握有這些錢包的私鑰，而不是逐一釣魚取得簽名。
從使用者角度看，TRON 是東南亞常見的 USDT 收付網路，持有大量 TRC-20 USDT 的錢包自然成為主要目標。這不代表 TRON 協議本身被攻破：鏈上紀錄顯示的是合法簽名的交易，問題出在私鑰已外洩。
本站鏈上核對：一個錢包的權限被改、兩把金鑰共同簽出 430 萬 USDT
本站以 TRON 節點資料逐筆核對了公開報告中的幾筆關鍵交易。第一筆是受害錢包 THvPCrsu2BwF3NRywFYhTu9Wsfwr59cQmo 的帳戶權限變更（交易 f12e5369…，區塊 86948449，2026-10-09 03:55:27 UTC）。交易類型為 AccountPermissionUpdateContract：owner 與 active 權限的門檻都被設為 2，原本的金鑰權重只有 1，新增的金鑰 TU9bsvYgky2DdFNgEUijiSc9XBNNM6henx 權重為 2。本站從這筆交易的簽章還原簽署者，結果是 THvPCr… 本身，也就是說，這次權限變更是用錢包原本的私鑰簽出的。改完之後，原持有人單靠自己的金鑰已經無法簽出任何交易。本站 2026-10-20 11:52 UTC 以 getaccount 查詢，該錢包的 owner 與 active 權限仍是門檻 2、THvPCr…（權重 1）加 TU9bsv…（權重 2），沒有被改回；帳戶的鏈上建立時間是 2026-09-30 13:35:06 UTC，也就是被接管前約 9 天才啟用，符合「新購裝置、新錢包」的情況。
同日 08:50:39 UTC（區塊 86954351），地址 TAzdU79XsKJNX4n9ks7GAeA1zKCPZXCSYQ 轉了 100 TRX 給新增的金鑰 TU9bsv…（交易 be4473c8…）。Phil Grushyn 的獨立報告第 10 節指出，TAzdU7… 正是簽署那批授權拉款的地址。
09:49:09 UTC（區塊 86955521），同一受害錢包轉出 4,303,775.806 USDT 到 TYohhJpmXn4uuKhC1uFRCCjMWAWPJnUfGj（交易 5afad9ca…）。這筆交易帶有兩個簽名、未指定其他權限編號，即使用 owner 權限。本站以交易雜湊與簽章還原出兩個簽署者，分別是原金鑰 THvPCr… 與新增金鑰 TU9bsv…。新增金鑰權重 2，單獨就已達門檻，第二個簽名因此並非必要；它出現在交易中，代表簽出這筆轉帳的一方同時握有受害者原本的私鑰。這與 Ledger 所說「助記詞在設定時被讀走」的方向一致，但屬本站依鏈上資料的推論，Ledger 沒有針對個別錢包說明。Grushyn 的報告也寫到這筆轉帳由兩把金鑰共同簽署。
凍結方面，Tether 在 12:09:42 UTC（區塊 86958330，交易 fbf78866…）由一個地址呼叫其 TRON 多簽合約 TBPxhVAsuzoFnKyXtc1o2UySEydPHgATto 確認第 11342 號提案，執行後 USDT 合約發出 AddedBlackList 事件，對象是 TB6bJfqPjbfhg4Qa8y81CnUK3KHrN6Sd1g。Grushyn 的報告把 THvPCr… 列為受害錢包而非攻擊者錢包，記錄它在 12:14:00 UTC 被列入黑名單，並認為這與「保護性凍結」相符；Tether 沒有公開說明原因。
歷史凍結事件不等於查閱當下仍在黑名單；本文不主張已獨立重現這兩個地址的即時黑名單狀態。Bitquery 與 Grushyn 都稱 Tether 共凍結約 1,000 萬 USDT；Grushyn 的口徑是 20 個攻擊者錢包合計 10,000,001.11 USDT（19 個各 500,000、1 個 500,001.11），Bitquery 另寫共封鎖 37 個地址。本站沒有逐一核對全部地址。
區塊 86958330 也是 THORChain 四個 TRON 金庫被加入黑名單的區塊。Bitquery 在 10 月 12 日的更正中指出，竊賊曾透過 THORChain 金庫把 USDT 換成 ETH，這可能解釋金庫為何在同一批凍結中被波及、數小時後又被解除；但 Tether 沒有公開說明凍結名單的依據，這一點仍屬分析者推論。
凍結不等於追回：USDD、跨鏈橋與混幣器
凍結只讓黑名單地址上的 USDT 無法轉出，並不會自動退回受害者。Tether 過去曾銷毀被凍結的代幣再重新發行，但這次是否、何時、以什麼程序處理，截至本文整理時 Tether 沒有公開說明；CoinDesk 也表示 Tether 未回覆置評請求。
竊賊也很快把資金移出 Tether 能管控的範圍。依 Bitquery 的追蹤，約 2,000 萬 USDT 經 USDT0 跨鏈到以太坊換成 ETH，約 2,370 萬 USDT 換成 Tether 無法凍結的 USDD，之後又經 THORChain 換成 ETH；另有大量 ETH 進入 Tornado Cash 與 Zcash。Bitquery 估計到 10 月 16 日仍能在鏈上找到約 8,100 萬美元，但其中大部分是無法由發行方凍結的 ETH 與 BTC。
TRON 使用者現在可以做什麼（編輯分析）
以下是本站根據已列來源整理的實務重點，不代表官方保證。CoinDesk 10 月 9 日及 12 日報導引述 Ledger 的建議：CryptoBilis 買家尚未使用的裝置先不要設定，已啟用者考慮換新裝置、產生全新助記詞後轉移資產；若舊助記詞已外洩，只換裝置而沿用舊助記詞不能解決問題。東南亞、香港其他經銷商及 MediaMarkt 買家也應留意各自通路通知，透過 Ledger 官方客服確認；停售或植入物通報不等於每台裝置都遭入侵，也不能把其他通路通報直接算入 CryptoBilis 的已確認盜領。The Block 引述 Ledger 提醒，已損失資金者應先與執法單位協調再拆開裝置，以免影響調查。
第二，TRON 帳戶有可修改的多重簽名權限。可以到區塊瀏覽器查看自己地址的 owner 與 active 權限，確認門檻與金鑰清單是否只有自己的地址；若多出不認得的金鑰，代表帳戶控制權可能已經不在自己手上。也建議定期檢查並撤銷不再需要的 USDT 授權。
第三，已被盜的錢包應視為永久失守。以本文核對的錢包為例，截至 10 月 20 日查詢，攻擊者加入的金鑰仍在權限設定中，任何轉入的資產都可能被移走。Bitquery 也記錄到，有付款方在事後持續把 USDT 轉入一個已被清空的錢包，十分鐘內就被竊賊透過先前的授權拉走。受害者應通知所有會付款給該地址的對象改用新地址，並循 Ledger 官方客服與當地執法單位求助，同時提防自稱能「追回資金」的詐騙。
