Ledger 连接器漏洞事件全梳理：CEO 公开信、修复进展与链上损失

2025年主流加密货币交易所：

• 欧易OKX >>>进入官网<<< >>>官方下载<<<
• 币安Binance >>>进入官网<<< >>>官方下载<<<

Ledger 连接器漏洞事件：从发生到处理，一张图看懂

说到硬件资产工具，很多人首先想到的就是 Ledger。但就在 14 日晚间，这家老牌厂商突然拉响安全警报，让不少刚接触 Web3 的朋友心里一紧。经过调查，问题出在它的连接器组件 ledgerhq/connect-kit 上——这个 npm 包被植入了恶意代码。由于很多链上应用都依赖它来连接资产工具，消息一出，社群和项目方都高度紧张，不免让人担心自己的资产安全。不过别急，先看完下面的梳理，你就能知道这件事到底怎么回事、对你有没有影响。

CEO 公开信：承诺帮助受影响用户追回资金

事件发酵一整夜后，Ledger 的董事长兼首席执行官 Pascal Gauthier 发布了一封公开信，详细说明了攻击经过。他说：12 月 14 日，Ledger 监测到 Connect Kit 遭到攻击。这个组件本质上是一个 JavaScript 库，用来让第三方 DApp 能调用 Ledger 硬件设备——说白了，就是你在网页上点击“连接资产工具”时背后的那套东西。攻击的起因呢，是一名前员工被钓鱼攻击，导致权限泄露，攻击者趁机把恶意文件上传到了 Ledger 的 NPMJS 包管理系统（一个用于分享 JavaScript 代码的平台）。

Pascal Gauthier 特别强调，这次漏洞只影响那些使用了 Ledger Connect Kit 的第三方 DApp，和 Ledger 硬件资产工具本身的安全无关。同时，Ledger 在事发后 40 分钟内就联合 WalletConnect 紧急处理，迅速移除了恶意代码。公开信还提到，他们已经正式向执法部门报案，并承诺会协助受影响的个人追回资金。目前公司正在追踪攻击者动向，并与执法机构合作，尽可能追回被盗资产。

安全版本已上线，官方建议等 24 小时再操作

好消息是，Ledger 在事发后很快完成了修复，把 Connect Kit 更新到了 1.1.8 版本。官方表示，现在使用这个版本是安全的，但还是强烈建议等 24 小时再操作，而且在操作前最好清一下浏览器缓存，把潜在风险降到最低。

链上损失：约 48.4 万美元，但范围有限

虽然这次事件牵连了不少 Web3 项目，尤其是部分 DeFi 应用，但由于发现得早、响应快、处理及时，目前已知的损失规模并不算大。根据链上数据监测团队 Lookonchain 披露的信息，截至 14 日晚 11 点左右，Ledger Connect Kit 漏洞攻击造成的被盗资金约为 48.4 万美元。其中，有 4.334 枚 ETH 被转移到了钓鱼团伙 Angel Drainer 手里。

此外，安全团队慢雾的创始人余弦也提醒大家：真正受影响的是那些依赖 Ledger 连接器的 DApp，而不是 Ledger 硬件资产工具本身。对于普通用户来说，在跟链上应用交互时，还是要多留意前端组件和资产工具连接工具的安全风险。新手容易忽略的一点是，即使硬件资产工具再安全，如果连接工具被污染，同样可能出问题。所以平时养成检查 DApp 来源、及时更新软件的习惯，是很有必要的。本文内容仅供学习参考，不构成任何投资建议、交易建议或收益承诺。加密货币和迷因币波动较大，价格预测和市场数据请以官方公告、交易所页面及实时行情平台为准，投资者需独立判断、谨慎决策。