你是否一直以为把币放进硬件钱包就绝对安全了?2026年下半年，这个认知被接连打破——FOUNDATION、Keystone、Ledger、Trezor等六大主流品牌先后曝出数据泄露与供应链攻击事件，累计损失已超亿美元。硬件钱包虽然仍是目前最可靠的冷存储方案之一，却并非无懈可击。下面，小编将为大家系统整理2026年下半年加密货币硬件钱包安全事件并总结真正有效的防护要点，帮你更好地守护私钥安全。

1、FOUNDATION

2026年10月26日，比特币硬件钱包Passport开发商FOUNDATION发推表示，团队调查发现，其邮件系统共记录超过2.3万次钓鱼邮件发送尝试，其中19057封通过Mailgun发送，另有1503封通过GoogleWorkspace发送。由于部分邮箱收到多封邮件，且部分发送尝试未成功或被拦截，目前尚无法确认实际受影响人数。

FOUNDATION此前使用的WooCommerce商店在数据库迁移过程中，旧数据表仍保留部分客户个人信息，尽管后台显示相关订单已完成数据脱敏。此外，部分退款记录、废弃购物车及今年5月迁移至Shopify后的订单信息也可能受到影响，具体泄露范围仍在调查中。

FOUNDATION已撤销受影响的电子邮件凭证、清除了排队的钓鱼消息，并将受影响的遗留服务下线，同时保留证据。我们对泄露全面程度的调查仍在继续。我们未发现任何证据表明此次事件危及了Passport设备或其持有的私钥。这些钓鱼邮件旨在诱骗您透露恢复短语，并包含您的正确个人信息以使其更具说服力。

2、keystone

10月24日，香港自托管硬件钱包品牌Keystone(以全隔离、二维码签名著称)在X平台发布公告，称公司于10月20日发现官方网站遭到未经授权的访问，并在与电商平台Shopify核查API活动后，于10月23日确认第三方获取了客户配送信息。泄露数据包括客户姓名、联系方式、收货地址，以及购买商品和价格等订单信息。公司表示，支付卡信息、银行账户信息、助记词、私钥和钱包密码未受到此次事件影响。

10月27日，Keystone进一步披露了客户数据泄露的规模。

公司表示，其Shopify商店共生成51083条购买记录，其中25119条已按照180天的数据保留政策删除，但由于自动批量删除工具运行异常，部分删除任务未能成功执行，导致2024年至2026年的25964条记录仍然保留，并可能被攻击者获取。此外，攻击者还可能接触到Shopify保留的12873条客户结账记录，这些记录来自尚未完成的购买流程。

这意味着，事件涉及的数据不再局限于近期订单，部分较早的客户记录也可能受到影响。Keystone此前曾将订单信息在180天后删除作为其隐私保护承诺之一，此次事件也使其数据保留机制的实际执行情况受到质疑。

3、NGRAVE

10月17日，比利时硬件钱包厂商NGRAVE遭遇一起与其配套应用LIQUID有关的钓鱼事件。

据区块链分析机构Bitquery的调查报告，攻击者利用被控制的通知渠道，向用户发送虚假的安全警报，并诱导用户进入仿冒页面输入钱包恢复助记词。攻击者随后利用这些信息转移钱包资产。

Bitquery根据链上交易追踪发现，相关攻击涉及84个钱包，损失约265万美元，资金分布在比特币、以太坊、Solana、XRP等多个网络。NGRAVE公布的初步损失估算约为256万美元。不同机构统计的损失金额存在差异，主要与统计范围及链上地址归属判断有关。

NGRAVE表示，此次事件涉及LIQUID应用的通知渠道遭到滥用，并称其ZERO硬件钱包及设备内的密钥并未因此直接遭到攻破。相关调查也提醒用户：任何以账户异常、设备同步、紧急安全升级等理由要求提供完整助记词的页面，都应被视为高风险。

4、Ledger

10月9日，链上分析师Specter发文称，近期X和Reddit上出现多起Ledger用户钱包被盗事件报告。其追踪相关盗币地址后发现，资金来自数百个受害者钱包，涉及以太坊、波场及比特币等多个主流区块链。

Ledger在公告中承认了客户通过东南亚经销商CryptoBilis购买设备后出现资金丢失的报告，但未确认所报道的损失金额，也未明确原因。作为预防措施，Ledger要求CryptoBilis暂停所有销售和发货，直至调查完成。Ledger建议在过去90天内通过该经销商购买设备的客户暂勿进行设置。Ledger称，已激活钱包的用户应考虑将资产转移至具有新生成恢复短语的新Ledger设备。

当时有不少网友爆料，Cryptobilis已经于今年上半年被转卖给一位神秘中国人，并且签署了保密协议：在10月19日之前不能公布该消息——然而，在可以公布消息的前夜——10月9日，被盗事件就发生了。

Bitquery发布了详细的链上调查，为还原攻击过程提供了更多细节。据Bitquery统计，TRON、比特币、以太坊、Solana、BNBChain和Polygon六条区块链上的335个钱包共损失约1.02亿美元，高于最初报道的8600万美元。Ledger将损失归咎于通过其在马来西亚、印尼和菲律宾的经销商CryptoBilis购买的设备。经过两周的测试运行，数十个钱包在几秒钟内签署了相同的请求，这表明所有密钥都掌握在同一名窃贼手中。

在Ledger硬件供应链攻击前，前Mt.GoxCEO曾发出警告，披露带有隐藏式监控植入装置的实体篡改Ledger设备后，可能无意中触发了针对多个钱包的协调性资金转移。Karpelès曾指出：市场上有人出售带有隐藏SIM卡的假冒或篡改Ledger设备，这些SIM卡能够传输被窃取的助记词。相关植入装置据称可截取发送至设备屏幕的数据，从而获取用户在设置钱包时显示的恢复短语。此类设备据称仍可通过Ledger官方真品检查，因为原有安全元件保持完整，而验证流程无法检测未经授权的实体改装。Karpelès的警告据称获得约9万次浏览，可能使攻击者意识到其行动已经暴露，并促使其转移窃取的资金。

Karpelès表示，他检查过的一台受影响Ledger设备来自马来西亚，采用完好无损的热缩膜包装，且屏幕下方隐藏着植入装置。

5、Trezor

8月13日，硬件钱包厂商Trezor发布公告，披露了一起涉及近14000名客户的数据泄露事件。事件的起因并非Trezor自身系统被攻破，而是其物流合作伙伴ShipMonk的系统遭到未经授权的访问。

根据Trezor的说明，该公司于8月10日(周一)接到ShipMonk通知，得知后者存储客户订单数据的系统遭到入侵。泄露数据具体分为两类：

• 完全暴露：11742名客户的姓名、邮箱、电话号码、收货地址全部泄露;
• 部分暴露：1947名客户的姓名、所在城市及邮箱泄露。

两者合计约13689人，覆盖美国、英国、瑞典、哥伦比亚、巴西、意大利和葡萄牙七个国家，涉及2026年5月10日至8月8日期间发货的订单。通过亚马逊购买的用户未受影响，因为这部分订单走的是另一条履约渠道。

这意味这些客户可能面临“扳手攻击”，即面对再复杂的密码学加密，攻击者只需一把5美元的扳手，威胁受害者交出密码即可，根本无需破解算法。

此前，Trezor也曾曝出安全问题：2024年1月，第三方支持工单平台遭入侵，影响6.6万用户;2022年也曾发生一起影响超过10.6万用户的类似事件。

6、Coldcard

据区块链调查机构TRMLabs于8月5日发布的事件分析报告，自2026年7月30日起，攻击者开始集中转移部分由Coldcard设备创建的钱包中的比特币。

截至该报告发布时，链上追踪显示，约1816枚BTC被转移，按当时价格计算价值约1.16亿美元，涉及超过5200个地址。

TRMLabs指出，问题与Coldcard在2021年3月发布的4.0.1版本固件有关。该版本存在构建配置错误，使部分设备在生成钱包种子时，未能按预期使用硬件随机数来源，而是退回到安全性较弱的软件随机数生成机制。钱包种子是生成私钥的重要基础。如果生成过程中的随机性不足，攻击者就可能缩小需要尝试的密钥范围，从而增加破解钱包的可能性。

TRMLabs称，受影响钱包的有效密钥强度可能从设计目标的128位下降至最低约40位，使攻击者有机会在不接触设备的情况下，通过计算尝试恢复密钥。这类风险尤其隐蔽：用户可能一直正常使用设备，设备外观、操作流程和交易签名也未必出现异常，但钱包在最初生成时就已经埋下了安全隐患。

以上就是硬件钱包还安全吗?2026年下半年加密货币硬件钱包安全事件整理的详细内容，更多关于2026年下半年硬件钱包安全事件盘点的资料请关注中币网其它相关文章。