Ledger 植入案被爆延遲揭露：早 10 個月就知情
Ledger 經銷商植入物事件 10 月 9 日爆發後，官方說法一路修正：先說只有 CryptoBilis 一家經銷商涉事，範圍後來擴大到東南亞與歐洲，15 日才歸責給一個組織性犯罪集團。沒想到植入物早就有人示警，官方卻沒有對外公開。
前 Mt. Gox 執行長 Mark Karpelès 17 日說，Ledger 至少從 2025 年 12 月就收到裝置遭竄改的報告，越南加密貨幣教育者 Tai Zen 當時主動聯絡過官方；安全研究員 Joe Grand 3 月 4 日也回報一台透過泰國 Lazada 買到的 Nano X 遭植入惡意元件。Ledger 承認收到過這些報告，但沒說明為何延遲近 10 個月才對外公開。
- Yoda Jr：「如果屬實，數月的植入警告都沒有公開提醒，Ledger 這次處理得很差。以後硬體錢包只從原廠直接買。」
- Token İnceleme Notu：「Ledger 從 12 月就壓著竄改報告不公開，這才是沒人在追究的部分。攻擊面在供應鏈，光靠韌體簽章不夠。」
- ChronoCrypto：「如果 Karpelès 說的沒錯，12 月就有警告、3 月 Lazada 的 Nano X 案也報告過，用戶早在 10 月 9 日經銷商事件公開前就該被提醒。Ledger 是不是該在每次收到竄改報告時就公開？」
- lvnbbs_bnb：「要靠前 Mt. Gox 執行長來揭穿他們對供應鏈攻擊保持沉默，這件事很諷刺。」
- Muhammad Azhar：「Joe Grand 的拆解報告說『新版植入物已經出現』，12 月那些報告的電路板跟他拆的是不是不一樣？」
- Alchemy 丨資本散人：「Ledger 怎麼回應，這輪我還沒看到原文，先不當定論。我買這類東西只走官網，代購再便宜也不碰，你們是官網買的，還是代購？」
Ledger 的 CryptoBilis 經銷商植入物事件從單一經銷商通報，一路擴大到東南亞六國、香港經銷商暫停銷售，以及歐洲 MediaMarkt 全面下架，損失金額一度定格在 9,320 萬美元。Ledger 先前堅持晶片、作業系統與伺服器都沒有被入侵，問題出在裝置離開官方掌控後的經銷環節，但遲遲說不清楚動手的是誰，調查重點一直停留在釐清供應鏈哪個環節被滲透。
10 月 15 日，Ledger 在官方部落格首次正式歸責：一個組織性犯罪集團花數月建置種子收集伺服器與洗錢管道，耐心佈局後花費數百萬美元，一次性發動協同行動洗劫錢包，再透過東南亞經銷商把植入裝置重新流入市場。Ledger 強調這是經銷環節遭攻擊，不是系統性供應鏈漏洞，已要求經銷商下架裝置，持續禁止退貨裝置再轉售。Chainalysis 證實已就資金流向展開跨鏈洗錢分析，會持續追蹤。
Ledger 的 CryptoBilis 經銷商植入物事件，原本被官方定性成單一通路問題：東南亞經銷商賣出的裝置被動手，確認案例都出自這一家。10 月 12 日，損失金額定格在 9,320 萬美元，Tether 凍結其中 1,000 萬美元。
10 月 13 日，範圍破了這個說法。Mark Karpelès 說新加坡機場零售商 Metapod 賣的 Ledger Flex 裡也有植入物，這是 CryptoBilis 與歐洲 MediaMarkt 之外的第三個通路。歐洲最大電子零售商之一 MediaMarkt Saturn 同天宣布，依與 Ledger 的共識在德國全面停售 Ledger 裝置。Ledger 說植入物靠內藏 LTE 晶片把復原詞讀出並傳出去，卻仍堅持「已確認的資金損失」只跟 CryptoBilis 有關。