刘教链｜安全是最大的豪华
BTC上周五（10/9）悄然回踩50日线（约80.7k）后，周末两日又拉回83k。但让市场背后发凉的，并非行情的波动，而是硬件钱包Ledger遭遇了让很多人大开眼界的供应链攻击，遇盗资金据称直逼1亿刀！
一台从马来西亚寄出的 Ledger 硬件钱包，被拆开之后，屏幕原本应有的缓冲垫位置，藏着一枚不该存在的小板。这么指甲盖大小的东西上，居然自带一整套移动通信设施：LTE 通信组件、天线、eSIM，另外还有一枚接在设备 SPI 总线上的微控制器。它不破解密码学，只是偷偷地盯着设备的屏幕，把用户设置时抄下来的那 24 个词记下，再发出去[1]。
安全研究人员给出的推演是，助记词在安全元件里生成，显示在屏幕上供人抄写，而恶意模块从屏幕的数据线上把显示内容取走。安全元件能挡住私钥被读出，挡不住屏幕此刻正在显示什么[1]。随后，经销商 CryptoBilis 被曝三月份已悄然易主[2]；Ledger 官方也确认，一名用户的设备里存在未经授权的硬件植入[3]。
事情的性质因此很清楚。被攻破的不是椭圆曲线，是设备从出厂到你手上之间的那段路。这就是典型的供应链攻击。大多数人没听说过这个词儿，也是第一次见到这么高科技的攻击方式。
从技术定义上，硬件钱包因为其本身不联网，所以也被归入冷钱包这一类别。
但是，架不住黑客有办法让你的硬件钱包偷偷连上网呀。
所以严格说来，硬件钱包在其生命周期中，并不能100%确信是冷的。借用量子物理的词儿来说就是，硬件钱包是薛定谔的冷。只有当你被盗的那一刻，薛定谔的波函数才坍缩成一个或生或死的确定结果。
因此，从量子物理的思维，或者说概率思维角度看，各种归入冷钱包一类的技术方案，其冷的程度也是有区别的。在教链心目中，这个顺序大概是这样的：
从最冷到不那么冷排序：纸钱包（以及变体，比如助记词钢板、脑钱包等） > 自己的断网设备（电脑拔掉网卡，手机拔掉SIM卡删掉WiFi开飞行模式等） > 购买的硬件钱包产品
2025 年 3 月，教链写过一篇《冷钱包为何被盗》，讲的是某交易所价值十几亿美刀的所谓冷钱包被洗劫。那件事的教训是，对于合约钱包，私钥不触网不等于资产安全，因为资产的真正控制权在链上合约，而合约永远在线。所以严格讲，冷的标准不是私钥不触网，而是控制权不触网、不触电。
更早一些，2024 年 6 月，教链写过《哪里能买到冷钱包？答案你肯定想不到！》。答案是文具店：一支笔，一个本子。断网生成私钥，手抄两遍，验算地址，然后锁进保险柜。它笨，慢，不体面，却有一个硬件钱包给不了的好处：没有供应链。没有工厂，没有物流，没有经销商，没有人能在这条链上提前动手脚。
回过头来看，硬件钱包的价值在于便利与工程可靠，一枚专用芯片、一套经过审计的固件，使用起来确实比一张纸更方便，特别适合于经常需要操作资产的使用场景。它的弱点也正在于此。为了便利，它必须经过一整条你无法亲自监督的链路；链路上任何一个环节被替换，设备就不再安全。
还有更简单到发指的供应链攻击：第四方销售者打印一张精美的助记词卡片，印好预设助记词，塞到产品里一起寄给用户。用户拿到设备居然不加怀疑地按照“使用说明”把预设助记词导入了硬件钱包。（相信读者朋友应该一眼就看出来这种情况下黑客是如何偷走资产的，如果你看不出来，那么你不适合使用硬件钱包，先认真学习一些加密相关的知识吧！）
所以教链在小白课上经常强调，绝对绝对不要从非官方的电商渠道购买硬件钱包。这次Ledger这事儿一出，看起来所谓官方授权经销商也沦为薄弱环节了。
2025 年 6 月，教链还写过一篇《买个冷钱包，丢了五千万》。有人买对了设备，却把助记词拍照存在手机里，或者图省事记在云端。设备没出问题，人出问题了。
教链并不是要一杆子打死硬件钱包，也不是要完全否定硬件钱包这种产品。教链也有一台Ledger，也在使用。但是最关键的资产，却不会存放在这上面。囤积和长期持有，还是值得用更冷的方式去封存。
硬件钱包的便利性，更多体现在经常性地使用上。但是一旦使用，它就会联网。虽然是通过USB线连接到有网络的电脑，或者通过蓝牙连接到有网络的手机，但二跳联网也是联网。
所以硬件钱包的冷，并不是一直冷，而是一会儿冷，一会儿不冷。
业内好像还搞出个介于冷热之间的概念，叫做什么“温钱包”。
教链用Ledger，不过是用它把热钱包里的私钥从直接联网设备（电脑）里面分离出来，稍微增强一点点安全性而已。
从第一性上讲，硬件钱包是一种商业产品。生产商是面向利润在生产。在这种生产关系下，积极开发新功能、新产品的利益动机，就会常常掩盖过极致保守、恪守安全的品质动机。
就拿Ledger为例，教链用的是最简单、最便宜的，必须亲手插USB线才能连接的旧款Ledger，而像蓝牙连接各种豪华新功能，在教链看来，都是增加风险点的无必要。
一个产品是一套系统。从最朴素的质量控制原理上看，组件越多，功能越多，豪华程度越高，出问题的概率就越大。特别是，当厂商的注意力都放在提升豪华有卖点的功能上面去了，反而容易减少对于最最基础的生死攸关的安全功能的关注和投入，从而导致一个奇特的安全悖论：
越豪华，安全风险反而越大。
也许每个用户都最好掌握奥卡姆剃刀思维：如无必要，勿增实体。因为每一个增加出来的看似酷炫的功能，很可能都是一个风险点。即便它本身不是风险点，它也有可能会因为分散了对安全的注意力而在其他地方造成了盲区和雷点。
大自然遵循天地不仁之道，其残酷之处就在于，它从来不教育，只筛选。当一个人的认知不能匹配其财富水平时，他的钱就会流向别人的口袋。
安全，才是最大的豪华。
免责声明：本文纯属教链个人主观认知分享，不构成任何投资建议。加密市场波动巨大，风险极高，请自行判断、谨慎决策、承担风险和后果。
点击延伸阅读👉教链内参｜硬件钱包失守，抛压抬头
加入教链会员：欢迎关注公众号并发消息「会员」或「VIP」了解详情。
参考资料：
[1] 慢雾 23pds, "关于 Ledger 疑似硬件植入攻击路径的分析", X, 2026-10-10. 链接
[2] Bitcoin News, "关于 CryptoBilis 股权变更的报道", X, 2026-10-10. 链接
[3] Ledger Support, "关于未经授权硬件植入的更新", X, 2026-10-11. 链接