同时关联该项目与事件的快讯
OneKey 创始人 Yishi 于 X 平台发文提醒，使用旧款 iPhone 作为加密资产冷钱包可能存在安全风险。iPhone 4S 至 iPhone X 存在于 BootROM 中的 checkm8 漏洞，今年 6 月公开 usbliter8 漏洞影响范围则包括 iPhone XS、XR、11 系列和第二代 SE，均涉及设备底层启动代码，无法通过 iOS 系统更新修复。攻击者在获得设备物理访问权限后，可通过 USB 接口在 iOS 启动前执行代码，开启飞行模式也无法阻止此类攻击。Yishi 建议，iPhone 11 及更早机型不建议用于存储助记词，已经使用此类设备保存助记词的用户，应在可信环境中生成全新助记词并迁移资产，而非仅更换原助记词下的钱包地址。此外，用户还应及时更新系统、使用更复杂的设备及钱包密码，避免使用公共 USB 接口充电，并警惕设备长时间脱离自身控制期间可能遭受的物理攻击。此前 OneKey 创始人 Yishi 曾于 X 平台发文建议用户使用 iPhone 作为冷钱包，但只建议用 iPhone 17 或更新的机型。
OneKey 创始人 Yishi 发文警告，随着比特币 ETF 持仓规模扩大，托管机构面临的安全风险也在上升，并认为贝莱德旗下比特币现货 ETF（IBIT）可能成为朝鲜黑客组织的潜在目标。其指出，TRM Labs 高度确信，近期 Binance 安全事件与朝鲜黑客组织 TraderTraitor 有关，该组织此前还被指与 Bybit 遭盗及 DMM Bitcoin 被盗事件有关。
社区用户发现，Kraken 稍早前一度出现无法交易或提现的状况。Kraken 官方 10:42 就此发文宣布：“我们正在调查现货和衍生品客户在连接平台以及通过所有网页端、移动端应用程序及 Rest 和 Websocket 连接提交订单时遇到的问题。我们正在努力解决该问题，并将在获取更多信息后进行更新。”11:42，Kraken 再次发文更新进展，故障已得到解决。OneKey 创始人 Yishi 就此表示：“看起来 Kraken 刚才也出了问题。无法进行交易或提现，整个交易所都进入了‘仅限挂单’（post-only）模式。现在虽然恢复了，但刚才着实把我吓得不轻。眼下攻击比防守容易太多了。我们必须把全部精力都放在安全上。全面开启‘堡垒模式’。”
OneKey 创始人 Yishi 发文表示，硬件钱包行业近期接连发生数据泄露与供应链攻击后，OneKey 正强化既有安全措施，并称自身未发生安全事件，此次举措为事前主动实施。OneKey 已通过 Shopify API 确认历史订单记录中的客户姓名、邮箱、收货地址等个人信息已删除，并将客户数据留存上限压缩至 30 天，退货、保修和设备验证将改用不依赖长期数据留存的方式。FedEx、UPS 等承运商的留存政策不受 OneKey 控制；经客户明确同意，OneKey 可能单独保留经隐私处理的邮箱，仅用于产品更新和安全补丁通知。OneKey 长期目标是将电商业务迁至自有基础设施，减少对 Shopify 等第三方平台的依赖。
OneKey 创始人 Yishi 在 X 平台发文表示，针对近期多名曾从 CryptoBilis 购买 Ledger 硬件钱包的用户报告资产被盗一事，OneKey 已终止 CryptoBilis 的授权经销商资格，并停止新增经销商，同时将重新审查全部现有经销商。
OneKey 创始人 Yishi 在 X 平台发文表示，针对近期部分用户通过 CryptoBilis 购买的 Ledger 硬件钱包遭植入未经授权硬件、导致资产被盗的事件，OneKey 目前尚未收到旗下用户因此遭遇资产被盗的报告，但出于安全考虑，已终止 CryptoBilis 的授权经销商资格。其同时宣布，即日起停止新增经销商，并对所有现有授权经销商重新进行资质审查。同时对于 2026 年 3 月 1 日至声明发布日期间通过 CryptoBilis 购买 OneKey 硬件钱包的用户，无论设备型号及使用状态，均可申请免费换新，申请截止日期为 2026 年 12 月 31 日。此外，Yishi 建议已使用相关设备的用户将原助记词视为可能泄露，尽快将资产转移至使用全新助记词的钱包，无需等待换新设备送达。
OneKey 创始人 Yishi 发文表示，Ledger 用户近期资产损失事件引发社区对硬件钱包安全性的关注，风险可能并非来自安全芯片本身，而是存在于受保护芯片与用户信任的显示屏之间，即所谓“最后一厘米”环节，硬件钱包安全需要覆盖生产、运输、存储和分销全流程，并建议用户通过官方渠道购买设备，完成包装检查及官方验证，敏感数据在传输过程中可能暴露。Yishi 表示，截至 10 月 10 日，OneKey 尚未收到用户因该事件导致资金损失的报告。针对供应链攻击风险，计划从包装、助记词显示路径、主板通信、经销商授权及用户验证信息等多个方面进行改进。其中，OneKey 将推出无需在设备屏幕显示助记词的备份流程，并优先加强主板内部敏感通信链路加密，降低硬件植入攻击获取恢复短语的风险。
据 Cointelegraph 报道，开源钱包提供商 OneKey 表示，其安全团队在实验室环境中成功重现了针对旧版 Ledger 以太坊应用 1.22.1 的“交易替换攻击”。该漏洞可能允许攻击者在用户审核正常交易时替换待签名交易，但利用条件包括控制设备与主机之间的通信，例如通过恶意软件、受感染钱包软件或恶意网页实现。
OneKey Anzen 针对 Ledger 漏洞进行复现，发现 Ledger 以太坊应用 1.22.1 版本存在交易替换漏洞。被攻击用户的硬件屏幕仍会显示正在审核的 A 交易，但设备可能签署用户未查看的 B 交易。OneKey Anzen 表示，该问题源于交易显示逻辑与底层缓冲区之间的竞态条件，攻击前提是主机侧已被恶意 DApp 或中间软件控制。Ledger CTO 曾回应称漏洞修复已于约两周前上线，用户更新应用即可。公开信息显示，Ledger GitHub 上 1.22.2 版本的正式标签于 8 月 24 日出现。Ledger 官网表示，已通过应用级校验和 SDK 层修复该问题，并于 8 月 21 日发布 Ledger Secure SDK v26.6.1，相关应用已重新构建并发布。用户需通过 Ledger Live 更新应用，仅更新设备固件无法完成修复。Ledger 称目前没有证据显示该漏洞已被实际利用。
硬件钱包厂商 BitBox 表示，8 月信用卡支付销量较此前数周基线约增长 10 倍，增量主要来自北美；Trezor 和 OneKey 也确认同期销量上升，但均未披露具体数据。Trezor、BitBox 和 OneKey 均重新审查了助记词生成、随机数生成器、熵及固件验证流程。Trezor 计划开展核心固件功能渗透测试，并公开相关安全审计报告；OneKey 将加强安全关键代码路径和交易签名流程审查。Ledger CTO Charles Guillemet 表示，AI 辅助攻击使补丁发布、漏洞披露和用户教育需要加快。Blockstream Jade 已发布包含多项修复的固件更新，并建议用户同步更新应用、操作系统、设备、路由器及家用电器。（Bitcoin.com News）