Ledger подтвердил, что в аппаратном кошельке, принадлежавшем одной из жертв масштабной волны краж в Юго-Восточной Азии, обнаружили несанкционированный аппаратный имплант.

По оценкам исследователей блокчейна, из сотен кошельков было выведено более $86 млн. Ledger сообщает, что все подтвержденные на данный момент случаи связаны с устройствами, проданными одним реселлером — CryptoBilis, — и что собственные системы компании и каналы прямых продаж не затронуты.

Что произошло

9 октября покупатели устройств Ledger у CryptoBilis начали сообщать о несанкционированных транзакциях. CryptoBilis — официальный реселлер Ledger, работающий в Индонезии, Малайзии и на Филиппинах. Исследователь блокчейна tanuki42 первым сообщил о переводе более $72 млн на группу адресов, предположительно связанных с кражами.

Позднее другой исследователь, Specter, отследил средства в сетях Bitcoin, Ethereum и Tron и оценил предполагаемые потери более чем в 86 миллионов долларов. Позже MistTrack и Arkham Intelligence оценили сумму примерно в 90 миллионов долларов, а некоторые издания приводят оценки до 93 миллионов долларов и более чем 300 кошельков.

Ledger не проверяла ни одну из этих сумм, и пока неясно, связана ли каждая кража, учтённая в оценках, с клиентами CryptoBilis.

Цена для одной жертвы

Lookonchain описала один из самых болезненных случаев. Четыре месяца назад инвестор купил 80 BTC примерно за 5,2 миллиона долларов по цене около 65 000 долларов за монету и получил около 1,38 миллиона долларов нереализованной прибыли. Неделю назад он купил Ledger у CryptoBilis и перевёл на него все 80 BTC. Теперь, по сообщению Lookonchain, он потерял всё.

Реакция Ledger

9 октября Ledger попросила CryptoBilis приостановить все продажи и отправки, пока компания проводит расследование. Она посоветовала всем, кто купил Ledger у этого реселлера за последние 90 дней, не начинать настройку, если они ещё этого не сделали.

10 октября Ledger опубликовала более серьёзное обновление:

«Ledger может подтвердить, что в одном из устройств, принадлежащих пострадавшим пользователям, обнаружен несанкционированный аппаратный имплант. В рамках продолжающегося расследования Ledger связывается с пострадавшими пользователями. Если у вас есть информация, относящаяся к расследованию, свяжитесь с программой вознаграждения Ledger за обнаружение уязвимостей: bounty@ledger.fr».

В обновлении, опубликованном через 72 часа, Ledger сообщила, что сотрудничает с соответствующими органами и что количество затронутых устройств невелико. Компания добавила:

«На сегодняшний день все подтверждённые случаи, связанные с обнародованным инцидентом с опустошением кошельков от 9 октября 2026 года, затрагивают устройства, проданные через реселлера CryptoBilis в Юго-Восточной Азии. Наши системы и каналы прямых продаж не затронуты».

На время проверки CryptoBilis приостановила продажу всего запаса аппаратных кошельков.

Что обнаружили исследователи внутри

Ещё до подтверждения Ledger исследователи уже изучали устройства с внесёнными изменениями. Tibane Labs опубликовала технический документ, в котором описывается устройство с микроконтроллером и оборудованием для сотовой связи, подключённым к внутренним линиям передачи данных дисплея. Согласно сообщениям специалистов по безопасности, исследователи, в том числе Джо Гранд из Grand Idea Studio и команда Tibane Labs, провели реверс-инжиниринг скомпрометированных устройств и выявили три версии импланта.

Согласно описанию предполагаемого механизма, имплант перехватывает фразу восстановления, когда пользователь настраивает устройство. Фраза восстановления состоит из 12 или 24 слов, которые дают контроль над кошельком, поэтому любой, кто получит её, может опустошить кошелёк откуда угодно. Это объяснило бы, почему жертвы потеряли средства, хотя ни разу не подтверждали транзакцию.

Важное уточнение: Ledger не подтвердила, что кражи произошли из-за импланта, а точный механизм всё ещё расследуется. О технике атаки сообщили исследователи, но Ledger её не подтверждала.

Вопрос о CryptoBilis

В заявлении, переданном исследователю Марку Карпелесу и опубликованном Tibane Labs, говорится, что в марте CryptoBilis завершила смену руководства и что авторы заявления больше не контролируют системы компании и базы данных клиентов. В заявлении не установлено, кто и когда вмешался в работу устройств; этот вопрос остаётся открытым.

Почему это атака иного рода

В этом году большинство краж криптовалюты были связаны со взломами бирж, уязвимостями смарт-контрактов или фишингом. Эта атака направлена на само аппаратное устройство — ещё до того, как пользователь возьмёт его в руки. Это атака на цепочку поставок: продукт изменяют где-то между заводом и вашим рабочим столом. Поэтому она может обойти даже бдительных пользователей, которые со своей стороны всё делают правильно.

Атака также направлена на категорию решений для самостоятельного хранения средств, которой доверяют больше всего. Аппаратные кошельки рекламируют как самый безопасный способ хранения криптовалюты, поскольку закрытые ключи остаются офлайн. Устройство с внесёнными изменениями подрывает это обещание, если оно приобретено из непроверенного или изменённого источника.

Что следует делать пользователям Ledger

Следуя рекомендациям Ledger и стандартным правилам безопасности:

– Если вы купили устройство у CryptoBilis за последние 90 дней и ещё не настроили его: не включайте его и не начинайте настройку. – Если вы уже пользуетесь устройством, купленным у CryptoBilis: замените и устройство, и фразу восстановления, а средства переведите на новый кошелёк, созданный на доверенном устройстве. – Всем остальным: покупайте аппаратные кошельки напрямую у производителя или через официально проверенный канал; никогда не пользуйтесь устройством, которое доставили уже настроенным или с записанной фразой восстановления, и убедитесь, что пломбы на упаковке не повреждены. – Если у вас есть информация об этом деле: Ledger просит связаться с программой вознаграждения за обнаружение уязвимостей по адресу bounty@ledger.fr.

Что будет дальше

Расследование продолжается, и Ledger сообщает, что сотрудничает с правоохранительными органами. Остаются важные вопросы: сколько устройств подверглось вмешательству, на каком этапе цепочки поставок установили импланты и совпадёт ли итоговая сумма потерь с нынешними оценками в 86–93 миллиона долларов или превысит их. Ожидаются новые технические выводы от Tibane Labs и других исследователей, возможный криминалистический отчёт от Ledger, а также более пристальное внимание к тому, как производители аппаратных кошельков проверяют и контролируют своих реселлеров.