Ledger 植入物擴散至歐洲機場：MediaMarkt 全面下架
Ledger 的 CryptoBilis 經銷商植入物事件，原本被官方定性成單一通路問題：東南亞經銷商賣出的裝置被動手，確認案例都出自這一家。10 月 12 日，損失金額定格在 9,320 萬美元，Tether 凍結其中 1,000 萬美元。
10 月 13 日，範圍破了這個說法。Mark Karpelès 說新加坡機場零售商 Metapod 賣的 Ledger Flex 裡也有植入物，這是 CryptoBilis 與歐洲 MediaMarkt 之外的第三個通路。歐洲最大電子零售商之一 MediaMarkt Saturn 同天宣布，依與 Ledger 的共識在德國全面停售 Ledger 裝置。Ledger 說植入物靠內藏 LTE 晶片把復原詞讀出並傳出去，卻仍堅持「已確認的資金損失」只跟 CryptoBilis 有關。
- Johannes：「Ledger 的聲明具有誤導性。我剛剛又去了一家 MediaMarkt 分店，確認他們是否真的停止銷售 Ledger 裝置。截至 10 月 13 日 UTC 15:00，那家店仍在積極銷售並展示庫存。」
- Coinjoined Chris：「沒有理由裡面會有這些線路。前三張照片是植入物，最後一張才是正品 Ledger Nano X。目前已知受影響的經銷商至少包括 MediaMarkt、Saturn（德國）、CryptoBilis（馬來西亞）與新加坡機場。」
- Rohit Jain：「正規的安全晶片也可能被裝進遭竄改的硬體錢包裡。Ledger 說植入物會把復原詞從螢幕讀出並透過 LTE 傳出去，現在 Mark Karpelès 又回報在新加坡機場買的 Flex 裡也有植入物，這件事值得查清楚，不用急著下定論。」
- Crypto Board：「MediaMarkt Saturn 因為德國傳出的植入物回報，已經把 Ledger 裝置從實體與線上貨架撤下。幾天前 Ledger 才確認 CryptoBilis 在東南亞賣出的簽名器遭竄改。你還會跟經銷商買硬體錢包嗎？」
Ledger 的 CryptoBilis 經銷商植入物事件，範圍在 10 月 13 日從單一經銷商擴大到 MediaMarkt 與新加坡機場零售商 Metapod，損失金額當時定格在 9,320 萬美元。Ledger 一度堅持「已確認的資金損失」只跟 CryptoBilis 有關，但隨著買家在歐洲與亞洲陸續回報收到遭改裝的裝置，外界質疑官方的定性是否跟得上事態擴散的速度。
10 月 14 日，Ledger 發出事件更新，首次以官方名義要求印尼、新加坡、泰國、菲律賓、越南、馬來西亞與香港的經銷商及分銷商，在調查期間暫停銷售並將裝置下架，一次涵蓋七個國家與地區。Ledger 強調目前已確認的事件仍限於東南亞，尚未查到其他地區裝置涉入資金損失，調查重點是釐清是誰在供應鏈哪個環節動手，並重申自家基礎設施與官方銷售管道沒有遭入侵跡象。
- Uncover Babylon：「我剛剛直接從你們的網站購買了多個帳本，但它們是從越南發貨的，越南被視為東南亞國家。我需要擔心嗎？」
- Mok Shaowei：「Challenger in SG is an authorised reseller and customers can still place orders for Ledger products though. Maybe just takeaway the authorised reseller webpage for affected countries for the time being to contain the situation?」
- Osi：「Ledger Flex 設備是在越南製造的。直接從官方 Ledger 線上商店購買設備的客戶是否有任何潛在風險？您能否確認透過官方網站銷售的設備完全不受此次事件影響？」
- Kevin Loaec：「Wtf is this. THERE ARE IMPLANTS IN EUROPE TOO. Don't minimize your com' as "oh, drains only happened in Asia"...this is NOT OK. Your European users are at risk, even if drains didn't happen yet.」
硬體錢包的核心保障是私鑰只留在離線裝置、永不上網。10 月 9 日曝光的 Ledger 失竊案打破這個假設：東南亞授權經銷商 CryptoBilis 售出的部分裝置，出廠前就被植入未經授權的硬體元件，讓攻擊者能繞過離線保護偷走資產。Ledger 當時只確認一台裝置含植入物，損失規模與攻擊範圍都還不清楚。
鏈上分析公司 Bitquery 追蹤顯示，損失已達 9,320 萬美元，波及 315 個錢包、橫跨 6 條區塊鏈，部分資金經 Tornado Cash 與 Zcash 等混幣工具轉移。Tether10 月 12 日證實凍結其中 1,000 萬美元 USDT，顯示監理工具能攔住穩定幣、卻攔不住比特幣與以太幣。Ledger 仍堅稱確認案例都出自 CryptoBilis、範圍有限，但已有用戶質疑責任其實在 Ledger 自身供應鏈。