钱包里的资产出了问题，用户该找谁？
文章作者、来源：曼昆区块链法律服务
最近，Ledger陷入了一场资产损失风波。部分东南亚用户反映，从经销商CryptoBilis购买硬件钱包后，钱包里的资产被转走。10月9日，Ledger宣布展开调查，要求这家经销商暂停销售和发货，并提醒近期购买者暂缓设置设备，已设置的用户考虑迁移资产。
10月10日，Ledger进一步表示，一名受影响用户的设备里发现了未经授权的硬件植入物。公司当时称，已确认案例与该经销商售出的设备有关，尚未发现其安全基础设施、系统或服务被入侵的迹象。
Bitquery统计的相关资产转出涉及315个钱包、约9320万美元。这是第三方统计，Ledger尚未确认最终损失规模。截至10月12日，设备在哪个环节被改动、植入物与全部损失是否有关，仍在调查中。
不少人选择硬件钱包，就是希望把资产保管得更稳妥。如今，用户报告的损失与设备上的异常同时出现，难免让人担心。查明攻击原因需要专业检测，至于这一发现是否能解释所有损失，目前还没有完整结论。对于其他钱包团队，这起事件已经提出了一个值得讨论的问题：用户信任一款钱包时，究竟在信任哪些环节？
图源：The Block，2026年10月9日报道。截图中的金额为早期估算，损失规模仍在核查中。
这起事件让人不安的地方，是CryptoBilis此前曾在Ledger的官方授权经销商名单上。用户去官网查名单、找授权渠道买，已经是在认真避开风险。如今，这条购买路径也进入了调查范围。对其他硬件钱包和非托管钱包App来说，值得讨论的是：用户把信任交给品牌时，厂商作出的承诺和承担的责任，是否说得足够清楚？
01｜“官方授权”带来的信任，品牌需要认真对待
普通用户很难了解设备在出厂后经历了什么。他们选择授权经销商，通常会相信品牌已经对渠道做过筛选。因此，经销商出了问题，用户自然也会向品牌寻求解释和帮助。
比如，一个用户担心买到假货，专门到品牌官网查了经销商名单，再去名单上的店铺下单。这家店之所以获得他的信任，既有店铺本身的因素，也有品牌推荐的作用。假如设备后来出了问题，他很难接受品牌与卖家互相让他“去找对方”。这是一种可以理解的用户反应，法律责任则还需要进一步查明。
品牌与经销商往往是两个不同的经营主体，双方的合同和售后分工，用户通常看不到。授权包含哪些内容，品牌参与了哪些环节，发生异常后提供什么帮助，如果对外说得含糊，用户的期待与双方实际安排就容易出现差距。
品牌与经销商之间怎样管理、怎样配合，用户未必关心，但这些安排会影响事故发生后的处理。品牌对渠道有多少管理权限，异常由谁报告，谁联系用户、谁负责售后，最好在合作时就有清楚的约定。
从合同角度看，这类约定的价值，在于减少事故后的争执。经销商能否提供购买记录，品牌能否直接联系相关用户，双方怎样配合调查，都会影响事情推进。具体采用什么渠道管理方式，需要结合业务和安全团队的判断；双方至少应当知道自己答应了什么、出了问题要配合什么。
品牌是否承担责任、承担多少，需要看设备出了什么问题、各方做过哪些承诺，以及相关行为和损失的联系。但“官方授权”既然参与了用户的购买决定，品牌就需要认真对待由此产生的信任。
对其他硬件钱包厂商来说，授权关系值得重新审视。官网推荐某个渠道时，用户会怎样理解这项推荐？合作期间发生变化，原先的安排还能否发挥作用？这些问题与品牌如何使用“官方授权”四个字有关，也与用户发生损失后向谁主张权利有关。
02｜安全能力有多大，承诺就说到哪里
Ledger的安全研究团队Donjon在公开资料里说明，Genuine Check主要验证安全芯片的真实性。在原安全芯片保持完整的情况下，一些额外的硬件改动可能无法被识别。这项检查也无法验证设备完整的销售和交付经历。
对用户来说，“验证通过”很容易被理解为“设备安全，可以放心使用”。如果产品实际检查的范围更窄，就有必要把这层差别讲明白。安全提示是否让普通用户看得懂，也是产品承诺的一部分。
这里的难处在于，技术团队和普通用户对同一句话的理解，可能并不一样。技术人员知道一项检查验证的是哪个部件，用户看到的却可能只是一个绿色标记。检查本身完成了既定任务，用户仍可能高估它提供的保护。产品说明需要照顾到这种理解上的差别。
假如购买页反复强调安全，关键限制却只放在用户很难找到的说明里，发生争议时就可能出现两种说法：厂商认为自己已经解释过，用户认为购买和使用时从未被提醒。是否构成误导、提示是否充分，需要看具体页面和适用法律。但把限制讲得清楚一些，确实有助于减少这种分歧。
非托管钱包App也有类似的问题。“代码开源”“经过审计”“私钥由用户保管”，各自说明了产品的某个特点。用户可能据此形成更广泛的安全期待。厂商宣传时，准确说明这些能力的范围，有助于减少误解，也能减少日后的责任争议。
比如，某款App介绍自己经过安全审计。用户可能会把这句话理解为今后使用都很安全，而审计通常有对应的对象、版本和范围。准确交代这些信息，并不会削弱产品已经具备的能力。它让用户有机会理解，一份审计报告具体支持了哪些说法。
钱包厂商当然很难保证所有风险都消失。我们更关心的是，对外承诺是否与实际能力相符，重要限制有没有让用户知道。宣传、安全说明和用户协议之间的差距越大，出事后越容易围绕“当初到底承诺了什么”产生争议。
图源：Ledger Donjon官网，2026年10月12日截图。页面说明了Genuine Check对额外硬件改动的检测局限。
03｜私钥由用户保管，产品和服务仍有各自的责任
非托管钱包通常由用户掌握私钥或签名权限。用户需要保管好恢复信息，认真核对交易。但用户仍然依赖厂商提供设备、软件和页面信息。如果这些环节出现问题，“我们不保管私钥”并没有回答事故原因和责任归属。
用户使用非托管钱包时，可能自己负责签名，但他看到的交易内容、使用的兑换入口和收到的软件更新，仍然来自钱包及其合作方。这里有不同的参与者，也有不同的工作。资产由用户控制，并没有让这些服务关系消失。
举个例子，用户在钱包里使用一项第三方兑换服务，后来发现交易出了问题。用户需要知道服务由谁提供，钱包参与到哪一步，问题发生在哪个环节。钱包可能只是展示了入口，也可能参与了交易内容的生成和展示；不同情况，对责任判断的影响会有差别。页面上的品牌标识和合同里的“第三方服务”，都需要放回实际过程里看。
从律师的角度，产品承诺、风险说明、合作合同和用户协议，是讨论这些问题的重要材料。它们能够帮助还原各方约定，但还要与实际交付的产品和服务对照。一个笼统的“非托管”标签，很难说明全部关系。
用户泄露助记词，与设备缺陷、软件漏洞或误导宣传引起的损失，责任判断会有差别。用户协议可以约定各方职责，但免责条款的效力还要看适用法律和具体情况。对于Ledger这次事件，仍需要等调查补全事实，再讨论赔偿。
事故后的沟通也会影响用户能否继续信任产品。调查尚未结束时，厂商可以说明目前掌握的事实、正在处理的问题，以及用户能从哪里获得帮助。对于自己尚未确定的内容，留下必要的余地，比仓促保证“没有问题”更稳妥。
暂停某个渠道、协助调查或提供替换设备，都是事故处理中的具体措施。赔偿责任还需要根据调查结果和各方约定判断。追回资产能否成功，则还涉及资金去向和相关机构的权限。用户需要知道当前能获得哪些支持，后续又如何处理自己的诉求。
曼昆律师小结
Ledger事件的技术原因，有待专业团队查明。作为律师，我们更关注用户信任与各方承诺之间的关系：官网上的授权、页面里的安全说明、协议里的责任安排，是否能与用户实际获得的产品和服务对应起来。
其他钱包团队可以从这个角度重新看一遍自己的业务。用户自己掌握资产，需要承担相应的保管责任；厂商提供什么、承诺什么，也值得讲清楚。各方对这些事情有较为一致的理解，平时有助于减少误解，出了问题也更容易讨论下一步该怎么办。
作者：邵嘉碘