Ledger расследует кражу $86 млн: кошельки от реселлера могли продаваться с закладкой

9 октября компания Ledger заявила, что расследует потерю средств покупателями из Юго-Восточной Азии, которые взяли устройства у реселлера CryptoBilis. Ончейн-аналитики оценивают ущерб в $72-86 млн, производитель цифры не подтверждает и причину не называет. Днём раньше Марк Карпелес, бывший глава Mt.Gox, опубликовал исследование Tibane Labs: в двух кошельках Nano X нашли закладку, которая считывает слова сид-фразы с экрана и отправляет их злоумышленникам через сотовую сеть. Взлом кошелька Ledger в привычном смысле здесь ни при чём: защищённый чип никто не трогал, секрет утекал по дороге к дисплею. Для России тема не чужая: официальной доставки нет.

Что известно на 12 октября

Инфраструктура Ledger, по её словам, не скомпрометирована, жалоб по устройствам, купленным напрямую, нет. Тем, кто взял устройство у CryptoBilis за последние 90 дней и не настроил его, компания советует настройку не начинать; тем, кто уже активировал кошелёк, - перенести активы на новое устройство с новой сид-фразой. CryptoBilis значится авторизованным реселлером в Индонезии, Малайзии и на Филиппинах. Чанпэн Чжао назвал происходящее атакой на цепочку поставок через одного продавца. Оценки потерь исходят от анонимных исследователей и могут пересекаться по адресам.

Как устроен имплант

Исследование Tibane Labs касается двух экземпляров Nano X. Под экраном стоит дополнительная плата, которая перехватывает сигналы на шине между защищённым элементом и дисплеем. При первичной настройке кошелька на экран выводятся 24 слова для восстановления доступа - имплант распознаёт их и передаёт по сотовой сети через собственный модуль с SIM-картой и антенной.

• Чип цел. Модель безопасности Ledger строится вокруг защищённого элемента, который хранит ключи и подписывает транзакции. Взломать его злоумышленники не пытались: данные перехватываются на пути к экрану, поэтому проверка подлинности чипа закладку не выявляет.
• Это не модифицированная прошивка. Код в памяти устройства подлинный, и обновления прошивки ничего не лечат: вмешательство аппаратное, а не программное.
• Несколько поколений. От сборки с заметными проводами до компактной платы с маркировкой v1.1, изготовленной промышленно.
• Откуда экземпляры. Один Nano X купили на Yahoo! Auctions, второй - на Amazon Japan, посылка пришла из Малайзии. Связь с CryptoBilis не доказана: экс-сооснователи реселлера передали бизнес новым владельцам в марте 2026 года.

Версия профильных изданий: сид-фразы собирали месяцами, а после огласки пустили в ход разом - поэтому десятки кошельков опустели в один день.

Почему это касается России

Официальной доставки Ledger в Россию нет: устройства идут через посредников, маркетплейсы и перекупщиков. Статус авторизованного реселлера, как показала CryptoBilis, ничего не гарантирует, а чем длиннее цепочка от производителя до курьера, тем больше звеньев, где коробку с кошельком могут вскрыть и модифицировать содержимое. Аппаратный кошелёк защищает ключи от вирусов и фишинга, но не от того, что устройство пришло к вам уже с чужими глазами внутри: взломать владельца через экран оказалось проще, чем через чип. Ещё один пример мы разбирали на ошибке генерации ключей в одной из прошивок.

Как проверить устройство

1. Вспомнить, где и когда куплено устройство: напрямую у Ledger или до 2026 года - низкий риск, посредник или перекупщик за последние месяцы - повод действовать.
2. Проверить подлинность кошелька в приложении Ledger Live. Шаг обязательный, но недостаточный: он подтверждает подлинность чипа, а имплант чип не трогает.
3. Осмотреть корпус: следы вскрытия, неровные швы, лишние элементы под экраном. Аппаратную закладку видно при разборе.
4. Не использовать устройство с заполненной карточкой сид-фразы в коробке или «уже настроенное»: слова должны появиться на экране при первой настройке у вас.
5. При сомнениях сгенерировать новую сид-фразу на кошельке из прозрачной цепочки поставок и перевести туда активы. Старые адреса считать скомпрометированными.

Что делать владельцу Ledger

1. Куплено у CryptoBilis или у неизвестного посредника за последние 90 дней: не настроено - не настраивать, активировано - перенести активы на новое устройство с сид-фразой, сгенерированной на вашем экране.
2. Включить парольную фразу: закладка на шине экрана видит 24 слова, а 25-е при настройке не выводится. Хранить её надёжно и отдельно от основных слов, как и PIN-код.
3. Покупать аппаратные криптокошельки только из цепочки, которую можно проследить до самой Ledger; заводская плёнка на коробке ничего не доказывает.
4. Помнить про вторую волну: письма «от поддержки» с просьбой ввести сид-фразу, «диагностика на имплант», «обновление по ссылке» - так злоумышленники добирают тех, кого закладка не задела. Приёмы разобраны в материалах про утечки данных у вендоров кошельков и фишинговые письма.