Ledger подтвердил наличие несанкционированной аппаратной закладки в устройстве одного из пострадавших пользователей, купленном через CryptoBilis.

По оценкам на блокчейне, потери составили до 93,2 млн долларов США в 315 кошельках в шести сетях.

Компания заявляет, что её собственные системы не скомпрометированы, и призывает недавних покупателей не настраивать устройства или перевести средства на новую сид-фразу.

Производитель аппаратных кошельков Ledger подтвердил, что в одном из устройств, связанных с сообщениями о потерях средств, обнаружена несанкционированная аппаратная закладка. Это продвигает расследование возможной атаки на цепочку поставок, связанной с его реселлером из Юго-Восточной Азии CryptoBilis.

В обновлении о ситуации, опубликованном 10 октября, служба поддержки Ledger заявила: «Ledger подтверждает, что в устройстве одного из пострадавших пользователей был обнаружен несанкционированный аппаратный имплант». Компания сообщила, что связывается с пострадавшими пользователями, сотрудничает с правоохранительными органами и поблагодарила SEAL 911 за поддержку. Согласно публикации, CryptoBilis приостановила все продажи аппаратных кошельков до завершения расследования.

Расследование началось после сообщений о краже средств с кошельков покупателей устройств Ledger у CryptoBilis — авторизованного реселлера в Индонезии, Малайзии и на Филиппинах. В первом заявлении от 9 октября Ledger рекомендовала пользователям, купившим устройство у этого реселлера за последние 90 дней, не настраивать неиспользованные устройства и, если устройство уже было инициализировано, рассмотреть возможность переноса активов на новое устройство Ledger с новой исходной фразой. Ledger неоднократно заявляла, что нет никаких признаков компрометации её собственной инфраструктуры безопасности, систем или сервисов.

Исследователи блокчейна подсчитали значительные потери. Компания Bitquery, занимающаяся анализом данных блокчейна, сообщила о выводе средств на сумму 93,2 млн долларов из 315 кошельков в сетях TRON, Bitcoin, Ethereum, BNB Chain, Polygon и Solana. Большая часть средств была в USDT в сети TRON. Tether заморозила около 10 млн долларов в USDT, связанных с этим инцидентом. Более ранние оценки исследователей, таких как Specter, превышали 86 млн долларов; впервые об этом подробно сообщило издание The Block.

Синхронный характер вывода средств — например, одобрение транзакций несколькими кошельками за считаные секунды — указывает на действия одного злоумышленника, получившего приватные ключи. Это согласуется с версией об аппаратном импланте, который мог перехватить фразу восстановления при настройке и передать её злоумышленнику. Ledger разрабатывает усовершенствованные меры защиты от вмешательства и призывает пользователей обращаться только к официальным каналам, отмечая, что никогда не попросит сообщить фразу восстановления из 24 слов.

Пострадавшим пользователям рекомендуется связаться со службой поддержки Ledger через официальные каналы. Этот инцидент подчёркивает сохраняющиеся риски в цепочках поставок аппаратных кошельков, хотя компания утверждает, что проблема ограничена каналом продаж конкретного реселлера.