Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。
10 月 15 日，Chainalysis 披露，一名刷单诈骗操盘者因硬件钱包供应链攻击损失超 60 枚 BTC（约 480 万美元）。从法律视角看，这起事件至少牵出三条线索：诈骗资金的非法来源属性、硬件钱包供应链攻击中的产品责任与侵权认定，以及「链上赃款」在反洗钱与冻结程序下的处置。
诈骗资金的法律属性
刷单诈骗的违法结构
所谓「task scam」通过诱使参与者伪造销售与评价、再以「负余额」诱导充值，骗取受害人资金。在多数法域的刑法语境下，此类行为可能触及诈骗罪或帮助信息网络犯罪活动罪；在普通法语境下则构成欺诈（fraud）。关键在于：诈骗操盘者所持有的 BTC 本身属于犯罪所得，无论其后续是否再次成为盗窃对象，资金的「赃款」属性并不因此改变。
「受害者」与「犯罪者」身份的重叠
Chainalysis 披露的最大受害者之一是诈骗者本人，这一身份重叠对执法具有重要意义：被盗的诈骗收益既是被害财产，也是可追缴的犯罪所得。执法机关在冻结与没收程序中，需同时处理「对受害人的返还」与「对犯罪所得的追缴」两重法律关系，其先后顺位与跨境协调将显著增加程序复杂性。
供应链攻击的侵权与责任认定
产品责任与经销商归责
Ledger 声称其芯片、操作系统与服务器无缺陷，问题出在经销商 CryptoBilis 销售的设备被植入窃密组件。这一抗辩将责任焦点引向供应链——受损用户能否向厂商主张产品责任、或向经销商主张违约与侵权，取决于植入物来源的举证、经销渠道的合法性以及厂商在渠道管控上是否存在过失。Ledger 要求东南亚多国及中国香港经销商暂停销售，正是切割渠道责任的动作。
跨境执法的协调难题
攻击者跨境采购、植入、外传助记词并洗钱，涉及多个法域的执法协作。链上资金追踪虽能还原转移路径，但将地址与实际主体关联仍需链下情报，跨境取证与资产冻结的效率将直接决定追赃结果。
合规观察
- 对持币者：从非官方渠道购入硬件钱包，可能使自身财产权面临供应链攻击的不可见风险，购货渠道的合规性本身就是风险控制的一环。
- 对交易平台：及时将链上标记的赃款地址纳入风控，既是反洗钱义务，也可能在后续冻结、没收程序中避免被动。
- 对立法与监管：硬件钱包供应链安全尚无统一标准，厂商、经销商、用户的义务边界有待以行业规范或立法方式进一步厘清。
一句话总结
「刷单诈骗者被偷」的案件在法律上呈现双重身份——被盗资金既是受害财产又是犯罪所得，追缴与返还的法律关系交织；而经由东南亚经销商植入助记词窃密组件的供应链攻击，则把产品责任、渠道管控与跨境执法协作同时推到台前，为硬件钱包的合规与安全提出了更高要求。
本文基于 Chainalysis 官方 X 发文（2026-10-15）与 Ledger 安全团队 Donjon 披露（2026-10-09）撰写。
