10 月 9 日，多名 Ledger 用户明明没有转账，钱包里的币却莫名其妙被人转走了。截至 14 日，至少 324 个钱包受害，损失超1 亿美元。
10 月 7 日，以太坊研究员 Justin Drake 又拉警报：如果 AI 找到新的数学捷径，黑客未来可能只凭链上的公钥就算出私钥，直接把币转走。
前者已经让人损失上亿美元，后者瞄准的是私钥的数学根基。
那今天保管加密资产，到底怎样做才安全？
Ledger ：钱到底是怎么丢的？
10 月 9 日，东南亚陆续出现反常案例。多名Ledger 用户发现资产突然被转走，没泄露助记词，也没做过常见的高风险操作。他们的共同点：都曾通过同个经销商买 Ledger 。
CryptoBilis是 Ledger 官网列出的授权经销商，在印度尼西亚、马来西亚和菲律宾都有销售渠道。
而且攻击面还在扩大，这次出问题的不只是东南亚经销商。 欧洲，新加坡，日本也出现了类似样本。
但这时候最关键的问题仍然没答案：这些人的私钥到底是怎么泄露的？
到 10 月 13 日，拆机结果终于让事情水落石出，让人大跌眼镜。
黑客根本没去硬碰 Ledger 最难攻的安全芯片，也没费劲攻破系统。他们用更原始方式：
把监听硬件塞进机身，几根线直接搭到屏幕信号上，等着助记词自己出现在屏幕上。
直接搞物理攻击了。
后续德国用户在两家不同的 MediaMarkt 门店买到 Ledger，拆机后都发现了相同改装：额外线缆和 LTE 通信模块。 Source: Johannes / X
把 Ledger 的安全芯片想成保险柜。
小偷没撬保险柜，他提前在旁边装了摄像头。
密码确实由保险柜自己生成，可第一次展示给主人时，摄像头已经看见了。
只要拿到这 24 个词，实体 Ledger 已经不重要了。攻击者可以在别的设备上恢复钱包，把资产转走。
这就是所谓的供应链攻击。
黑客不等设备到了你手里以后再来骗你，直接在产品从生产、仓储、运输、经销直到最终交付的链条里提前动手脚。等用户拆箱时，攻击已经完成了关键一步。至于这些设备具体在哪个环节被改装，目前还没有查清。
这也解释了为什么被动过手脚的设备还能通过 Ledger 官方验真。
官方校验主要确认安全芯片是不是正品。原来的芯片完全正常，旁边额外焊上的监听设备却躲过去了。
换句话说，官方验真能告诉你“核心芯片是真的”，却无法证明设备从生产、仓储、运输、经销直到你手里，这条物理链路从来没人碰过。
让人觉得防不胜防的是CryptoBilis本身就是Ledger的授权经销商。
币圈过去的安全建议：别点钓鱼链接，别把助记词输入电脑，别下载假软件，只从官网或者授权渠道买。大家做到这些应该就很安全了。
这次却出现了非常让人难受的情况，每步都做对，风险却发生在拿到设备以前。
所以 Ledger 这件事让我意识到，自托管不能只问哪个钱包安全，因为
攻击面会不断移动。
堵住上一个洞，攻击者会去找下一个。
跟打地鼠一样。
软件越来越安全，攻击者就去找人；用户越来越警惕钓鱼，就去找供应链；安全芯片越来越难攻，就绕过芯片，去看屏幕、物流、仓储和经销环节。
同一周又出现了完全不同的警告：Justin Drake 突然建议大额持币人把长期资产转到新的地址里。
为什么加密研究员突然让大额持币人转钱？
10 月 6 日，OpenAI 公布了 700 多份由前沿模型参与完成的数学手稿，其中不少还带有形式化证明。这个发布和加密货币没有直接关系，但它让很多人看到：AI开始参与研究级数学，而且数学发现的速度飞快。
第二天，以太坊研究员Justin Drake 把注意力放到了 ECDSA 上。
ECDSA 的中文叫“椭圆曲线数字签名算法”。以太坊普通账户长期使用它，比特币大量现有地址和交易也依赖同一类椭圆曲线签名技术。它属于更大的椭圆曲线密码学体系，互联网身份认证、软件签名和传统金融基础设施也广泛使用这一大类。
ECDSA 背后的安全逻辑：
私钥可以很容易算出公钥，可按照今天已知的算力，从公钥倒推出私钥几乎做不到。
它可以理解成单行道。
正着走很容易，倒着走极难。
Drake 担心的倒不是 AI 把电脑速度提高百倍。他担心的是 AI 找到过去没人发现的捷径。
假设迷宫有 10¹⁰⁰ 条路。过去大家只能逐条试，所以永远走不完。
新的算法突然拿到整张迷宫地图：不用把每条路都走一遍，直接知道哪条路通向出口。
这就是 Drake 所说“地堡模式”想防的情况。
所谓地堡模式，就是把币转到从没发过交易的新地址里；
以后这个地址一花钱，就视作已被污染，剩余资产再转到新的地址。
因为地址在第一次花钱以前，链上还没有公开完整公钥。所以就算未来真出现“拿到公钥就能算出私钥”的攻击，黑客连最关键的原材料都还拿不到。
听到这里很容易紧张：难道 ECDSA 被破解了？
目前暂时没有任何证据支持这个结论。
没有人展示过能够实际从比特币或以太坊公钥恢复私钥的攻击，也没有证据显示 ECDSA 背后的椭圆曲线数学基础已经明显变弱。Coinbase 密码学负责人 Yehuda Lindell 也公开反驳 Drake，认为目前看不到这些长期数学假设已经出问题的证据。
Drake看到的是低概率、高后果，所以宁愿提前准备。
这里很多人可能问：如果密码学真的被攻破，银行、互联网、政府系统不会先出问题吗？加密货币暂时别担心吧？
确实。同一大类数学被广泛用于身份认证、软件签名、安全通信和金融基础设施。如果底层数学真出现突破，影响当然不会只停在加密货币。
可“全世界都有麻烦”不代表加密资产不会先遭殃。恰恰相反。
攻破银行的密码系统以后，还面临内部权限、风控、转账、洗钱，还可能被冻结和追回。
可币圈呢？链上放着几千枚 BTC 的地址就是公开目标。算出私钥，签名，转走，就完事了。
传统金融可能面对更大的系统性后果，加密资产却是最容易立即变现的攻击目标。
那既然风险后果这么大，现在是不是应该赶紧换地址，换硬件，把资产全部迁走？
