За все годы в крипте я не встречал более жуткого способа красть крипту. Хакерам даже не пришлось писать код: в аппаратном кошельке уже была припаяна eSIM-карта
Кровавая история реального пользователя: в июне купил на просадке 80 биткоинов по 65 тысяч, за неделю до этого перевёл их на Ledger, а сегодня всё обнулилось. Нереализованная прибыль составляла 1,38 миллиона долларов — вместе с ней пропал и первоначальный капитал
За последние 24 часа связанные с инцидентом потери, отслеженные MistTrack, приблизились к 90 миллионам долларов. Tether начала замораживать USDT на адресах, связанных с атакой. Бывший CEO Mt. Gox Марк Карпелес лично разобрал Ledger, купленный в Малайзии, и обнаружил под прокладкой экрана шпионское устройство с LTE-модулем, антенной, eSIM и микроконтроллером. Наклейка была оригинальной, термоусадочная плёнка — целой: не вскрыв устройство, ничего подозрительного не заметить
/
❚ Принцип кражи крипты проще, чем кажется
Безопасность аппаратного кошелька держится на двух словах: изоляция
Приватный ключ хранится в чипе и не покидает устройство
Подпись создаётся внутри устройства. К интернету подключён только компьютер, а не сам кошелёк
Эта атака разрушила саму основу безопасности. Встроенный микроконтроллер подключался к шине SPI Ledger и мог считывать символы, которые должны были отображаться на экране. На страницах инициализации с сид-фразой как раз по очереди показываются все 24 слова. Модуль передавал эти символы через LTE. Получив сид-фразу, злоумышленники уже не зависели ни от надёжности вашего пароля, ни от ваших привычек: оставалось лишь дождаться удобного момента и опустошить кошелёк одним махом
Проще говоря: ты думаешь, что имеешь дело с изолированным сейфом, а под ним спрятан телефон. Снаружи он ничем себя не выдаёт, но видит всё, что отображается на экране
❚ История проблем с безопасностью Ledger
Те, кто давно в крипте, знают, что у Ledger уже бывали проблемы. Давайте восстановим хронологию ⬇️
1/ 2018 год: уязвимость, обнаруженная при раннем исследовании аппаратных кошельков
Исследователи показали, что Nano S можно было модифицировать ещё до выхода с завода, обойдя загрузчик MCU
В основном это были исследовательские уязвимости; официальные исправления закрыли большинство из них, реальные потери случались редко
2/ 2020 год: масштабная утечка данных из базы интернет-магазина
В открытый доступ попали более миллиона адресов электронной почты, а также имена, телефоны и адреса более 270 тысяч клиентов
Аппаратная часть и приватные ключи не пострадали, но утечка породила бесконечный поток фишинговых писем и поддельных официальных уведомлений в последующие годы
3/ Декабрь 2023 года: атака на цепочку поставок Connect Kit
Бывший сотрудник стал жертвой фишинга, его аккаунт npm взломали, а вредоносную версию внедрили во все DApp, зависевшие от этой библиотеки
За два часа украли от 480 до 600 тысяч долларов
С аппаратной частью всё в порядке, но все впервые осознали, что зависимости фронтенда тоже могут быть точкой входа для атаки
4/ Январь 2026 года: повторная утечка данных о заказах через сторонний сервис Global-e
Старая проблема, которая продолжает подпитывать фишинговую экосистему
5/ Апрель 2026 года: мошенничество с поддельным Ledger Live в App Store
Обманом заставили пользователей ввести сид-фразу из 24 слов; за неделю у более чем 50 человек украли 9,5 миллиона долларов
До нынешнего случая это была крупнейшая разовая потеря
6/ Август 2026 года: уязвимость подписи Ethereum LSB-023
Защиту Clear-signing можно было обойти при помощи заражённого компьютера; свидетельств реального использования уязвимости нет
7/ Октябрь 2026 года: атака на цепочку поставок CryptoBillis
Отслеженные потери приближаются к 90 миллионам долларов — почти в 10 раз больше предыдущего рекорда
Прослеживается чёткая закономерность: во всех предыдущих случаях либо утекали только метаданные, либо требовалось, чтобы пользователь сам совершил глупость (установил поддельное приложение, ввёл сид-фразу). Но на этот раз сид-фраза ни разу не покидала твоих рук, устройство ни разу не подключалось к интернету, всё шло как обычно. А деньги всё равно исчезли
❚ Почему именно Юго-Восточная Азия
CryptoBillis — авторизованный дистрибьютор Ledger в Юго-Восточной Азии. По сравнению с заказом на официальном сайте у дистрибьютора дешевле, доставка быстрее и не нужна международная пересылка. В криптосообществе Юго-Восточной Азии так покупают очень часто. Я живу в Бангкоке, и у меня немало знакомых, которые покупали устройства именно через этот канал
Самое жуткое в атаках на цепочку поставок — это то, что
Не нужно взламывать сам Ledger
Не нужно, чтобы пользователь ошибся
Достаточно скомпрометировать любой узел дистрибуции — и можно массово вредить пользователям
Ledger уже потребовала от CryptoBillis приостановить продажи и отправку устройств и рекомендовала пользователям, купившим кошелёк через этот канал за последние 90 дней, как можно скорее перевести средства. Но сколько устройств успели продать и пострадал ли только этот дистрибьютор — сама компания подтвердить не может
❚ Практические советы
С принципом разобрались, теперь перейдём к практическим советам
1/ Покупайте аппаратные кошельки только на официальном сайте, никаких сторонних продавцов
В том числе ссылки от популярных блогеров, дистрибьюторы, Taobao, Xianyu и устройства, которые привозят знакомые
На эти деньги можно было бы просто сжечь устройство
2/ Получив устройство, не используйте карточки с сид-фразами, которые идут в комплекте. Выполните инициализацию заново
Тщательно проверяйте устройство через Genuine Check на официальном сайте Ledger
При необходимости отправьте устройство в официальный сервис на физическую проверку
3/ Разделите крупные активы между несколькими кошельками
Не храните все свои сбережения в одном кошельке
Распределяйте активы между мультиподписью или несколькими адресами — так дороже обходится отказ одной точки
4/ Регулярно меняйте кошельки
Даже если сегодня всё в порядке, это не значит, что так будет и через три года
Это всё равно что сменить замок на аккаунте
5/ Следите за мониторингом в реальном времени от MistTrack, SlowMist и других организаций
Между атакой и её обнаружением проходит время. Если сменить кошелёк пораньше, можно спасти средства
/
В двух словах: самое страшное в этой истории — не сумма потерь, а то, что она изменила наши базовые представления о безопасности аппаратных кошельков
Раньше мы думали: пока сами не натворим глупостей, деньги в безопасности. Теперь нужно добавить ещё одно: сама купленная вами вещь может оказаться совсем не тем, чем вы её считали
Честно говоря, после этой статьи мне самому захотелось убрать Ledger подальше и перейти на другой бренд. Рынок и так в полной заднице, а тут ещё такое — аж сердце ёкает
(Материал составлен на основе данных MistTrack, публичных заявлений Марка Карпелеса и предыдущих объявлений Ledger. Это не рекомендация; проверяйте информацию самостоятельно.)