2026 年已有六大硬件钱包品牌披露安全漏洞，但实际造成用户加密资产损失的案例仅有两起。最新一起涉及 Ledger，其设备在到达用户手中前已被篡改。
硬件钱包通过离线存储 24 个英文助记词，将用户的加密资产密钥与互联网彻底隔离。今年，攻击者几乎针对围绕助记词的每一个环节展开攻击。
密钥弱点、激光破解与数据泄露：2026 年硬件钱包厂商集体中招
7 月 30 日，黑客开始盗取 Coldcard 钱包资产，原因在于部分密钥生成过程中随机性不足。Galaxy Research 后续表示，Coldcard 遭窃金额已超 1.15 亿美元。
Ledger 内部安全团队分别于 6 月及 7 月利用激光设备攻破了 Trezor Safe 7 和 Tangem 卡片芯片，这类攻击要求研究人员实体持有设备，并借助专用实验室仪器完成。
Trezor 回应称用户资产依然安全。Tangem 则表示日常用户基本无风险，并强调这项攻击研究来自竞争厂商的工程团队。
8 月，BitBox 修复了其工程师自查发现的多项重大固件漏洞，截至目前未报告用户资产被盗。
此外，还有事故涉及用户数据而非资产密钥。Trezor 的物流合作方泄露了 13,689 名买家的信息，SafePal 数据泄露事件则波及近 40,000 个家庭住址。
“2026 年或将成为硬件钱包安全事故最为频发的一年，”Wise Advice 评论称。
Ledger 被篡改钱包事件波及亚洲以外地区
Ledger 于周六证实，已有用户购买的设备存在未经授权的硬件植入。周日的最新进展显示，所有已确认案例均涉及马来西亚经销商 CryptoBilis。
链上分析师估计，损失金额接近 9 000 万美元。此前有一名用户在设备启用数日后，损失了 80 枚比特币。Ledger 官方尚未披露总体受损数据。
CryptoBilis 已暂停硬件钱包销售。两位前联合创始人在 LinkedIn 上表示，已于 3 月将公司交由新东家经营。
另有用户反映，自己数周前在欧洲官方渠道购买的 Ledger 钱包在产品外观和封装上无异常，但其真实性却存在疑问。Ledger 目前尚未证实除 CryptoBilis 以外的相关案例。
硬件钱包厂商建议用户怎么做？
Ledger 建议用户仅在其官网或官方授权渠道购买硬件钱包。针对此次事件，Ledger 还建议从 CryptoBilis 购买的用户，切勿启用未使用设备，资金应立即迁移至新创建的助记词下。
Ledger 的 Genuine Check 工具可验证设备安全芯片的真实性，但无法检测所有针对芯片本体以外的物理篡改。
BitBox 提醒用户及时安装固件更新，且仅在设备本机输入助记词。Trezor 则表示，钓鱼攻击依然是日常更常见的风险。
Ledger 同时呼吁其他硬件钱包厂商，共同制定防篡改与产品流转的行业标准。
那么，2026 年，是否还有真正绝对安全的硬件钱包？ 答案仍是否定的。尽管今年暂未有安全芯片被实验室外破解，但包括 Coldcard 和 Ledger 在内，用户依然因密钥安全薄弱或设备被篡改而资金受损。
