你用的是 Ledger 硬體錢包嗎？每次簽交易時，螢幕上顯示的地址和金額，你有仔細確認過嗎？如果沒有，這篇文可能會讓你重新檢視自己的操作習慣。
Ledger 又出事了？先講結論
8 月 28 日，開源錢包團隊 OneKey 宣布他們在實驗室環境中成功重現了一種針對舊版 Ledger 以太坊應用的攻擊手法。這個漏洞允許攻擊者在用戶確認交易的過程中，把原本要簽的合法交易替換成另一筆轉向錯誤地址的惡意交易。好消息是，Ledger 已經在 8 月 13 日發布的 Ethereum App 1.22.2 版本中修補了這個問題，目前沒有傳出用戶資金損失。
漏洞是怎麼運作的？
這次的攻擊手法稱為「交易替換攻擊」（Transaction Replacement Attack）。簡單來說，當你的 Ledger 設備正在顯示一筆等待簽名的交易時，攻擊者可以透過某些方式干擾設備與電腦或手機之間的通訊，在你看見確認畫面的那幾秒鐘內，把交易內容偷偷換掉。
攻擊成立的必要條件
- 攻擊者必須能夠控制設備與主機之間的通訊管道
- 這可能透過以下途徑達成：設備被植入惡意軟體、錢包軟體本身被綁架、或是用戶誤入含有攻擊腳本的網頁
- 用戶在簽名前沒有仔細比對螢幕上顯示的收款地址與金額
Ledger 官方強調，這並不是透過供應鏈攻擊或直接破解安全晶片實現的，而是針對「交易處理流程」的一個漏洞。與之前 Coldcard 的 seed 隨機數生成問題不同，這次問題出在交易簽名過程中的訊息交換環節。
為什麼這次漏洞特別值得關注？
老實說，硬體錢包的安全資訊並不常見諸主流媒體，但這次事件有幾個點值得我們注意：
1. 漏洞存活時間比想像中長
Ledger 在 8 月 13 日先推出了 App 層級的防護（Ethereum App 1.22.2），但根本的 SDK 漏洞到 8 月 21 日才完全修補。這意味著將近兩週的時間裡，部分用戶可能還在使用容易受攻擊的版本。
2. 攻擊門檻比想像中低
Ledger 說明攻擊需要「控制通訊」，這句話看似門檻很高，但實際上透過惡意軟體、錢包 App 遭入侵、或社交工程誘導用戶進入偽造網頁，都是可能的情境。一般用戶很難察覺自己的電腦或手機什麼時候被偷偷裝了東西。
3. 與 Coldcard 事件接連發生
就在今年 7 月，Coldcard 才爆發過 seed 生成韌體漏洞（2026 年 3 月引入的問題）。短時間內接連傳出硬體錢包的安全問題，難免讓長期支持冷錢包的玩家感到心驚。
我該怎麼保護自己的資產？
不用急著把硬體錢包丟掉，但這幾件事你現在就可以做：
- 檢查並更新 Ledger App：打開 Ledger Live，確認你的 Ethereum 應用已經更新到 1.22.2 或更新版本。更新不會花超過五分鐘，但能杜絕這次已知的所有攻擊路徑。
- 每次簽名前仔細核對地址：這是最基本也最重要的動作。攻擊者能做的只是「替你換掉交易」，但如果你在設備螢幕上看到一個完全不對的地址，根本不要按確認，攻擊就失敗了。
- 保持設備韌體與錢包軟體同步更新：這次 Ledger 是分開修補 App 和 SDK 的，代表未來類似的情況可能會重演。定期檢查更新，是最簡單的資安基本功。
- 避免在公用電腦或來路不明的軟體環境下操作：冷錢包並非萬能，如果你的電腦已經被植入木馬，攻擊者依然有可能在中間層攔截你的交易資料。
這次事件帶給我們的啟示
硬體錢包一直是自我托管（Self Custody）的主流工具，但這次事件提醒了我們：硬體錢包的安全晶片再強，交易流程的每一個環節都不能輕易放過。任何一個環節出錯，都可能讓攻擊者有機可乘。
對於一般用戶來說，這次的實際風險可能沒有想像中高——畢竟需要用戶「配合」在錯誤的環境下操作、且沒有傳出實際盜領案例。但對於需要管理大量資產或有高度資安需求的用戶，這種「潛在路徑」的存在本身就是警訊。
FAQ 常見問題
我的 Ledger 設備還能繼續用嗎？
當然可以。只要確保你的 Ethereum App 已經更新到 1.22.2 或更新版本，設備就是安全的。Ledger 官方已經確認這次漏洞沒有造成任何用戶損失。
這跟之前 Coldcard 的漏洞一樣嚴重嗎？
兩次漏洞的性質不同。Coldcard 的問題出在 seed 生成的隨機性，若被利用可能導致私鑰被暴力破解；而這次 Ledger 的漏洞是交易替換，攻擊門檻相對較高，且需要用戶在特定條件下「配合」。
OneKey 為什麼要主動公開這個漏洞？
OneKey 是開源錢包團隊，他們的資安研究部門平時就會進行各種安全測試。選擇公開是為了提升整個產業的安全意識，讓其他錢包團隊也能檢視自己的產品是否有類似問題。
我應該轉向其他品牌的硬體錢包嗎？
沒有任何錢包是 100% 安全的。重點是你是否定期更新設備軟體、是否在簽名前仔細確認交易細節、以及是否保持電腦和手機的基礎資安習慣。頻繁更換設備反而可能增加操作失誤的風險。
資料來源與利益揭露
本文主要資訊來源為 OneKey 官方部落格與 Ledger 官方 X（原 Twitter）帳號於 2026 年 8 月 28 日發布的公開聲明。維修進度時間點（8 月 13 日 App 發布、8 月 21 日 SDK 修復）皆來自上述官方來源。Coldcard 事件背景資訊來自 Cointelegraph 2026 年 7 月報導。
本文作者與 OneKey、Ledger 或任何提及之加密貨幣平台無任何合作關係或商業利益。所有觀點為作者個人分析，僅供參考，不構成投資建議。加密貨幣投資有風險，請自行評估並做好功課。
🔍 相關標籤
#資安
