【Важное продолжение｜Как фраза восстановления попала наружу и почему ритейлеры снимают устройства с продажи】
【Подтверждённые факты｜13 октября 2026 года】Сегодня Ledger сообщила, что внедрённый модуль, выявленный в ходе расследования, считывал информацию с экрана устройства, когда на нём отображались данные настройки. В том числе модуль мог считывать введённую или записанную пользователем фразу восстановления из 24 слов. Затем данные передавались через мобильную сеть LTE/eSIM, встроенную в устройство. Ledger также заявила, что имплант не взламывал защищённый чип и не изменял операционную систему устройства или процесс подписания транзакций. По словам Ledger, подтверждённые на данный момент случаи, связанные с кражей 9 октября, по-прежнему касаются канала CryptoBilis; компания также проверяет, поступали ли сообщения о подобных случаях от других источников, помимо дистрибьютора.
Европейский ритейлер MediaMarktSaturn снял продукцию Ledger с продажи в магазинах и на онлайн-платформах и сообщил, что связывается с производителем. В соцсетях появились сообщения о проблемах с устройствами, купленными у этого ритейлера, однако Ledger пока не подтвердила связь этих случаев в Европе с внедрёнными модулями. Поэтому нельзя представлять снятие товаров с продажи ритейлером как подтверждение того, что европейские устройства оказались затронуты.
【Моя оценка｜Что изменилось с появлением этой информации】В предыдущем обновлении уже было подтверждено, что «как минимум в одном устройстве, проданном через CryptoBilis, обнаружен несанкционированный аппаратный имплант». Главное новое обстоятельство — Ledger описала механизм считывания фразы восстановления и её передачи через мобильную сеть, а крупный ритейлер принял меры и снял устройства с продажи. Это переводит риск из абстрактного сценария модификации устройства в конкретную угрозу для фразы восстановления, отображаемой на экране во время первоначальной настройки. Вместе с тем заявления Ledger о защищённом чипе и процессе подписания означают, что имеющиеся данные не подтверждают ни взлом чипа, подписывающего транзакции с использованием приватных ключей, ни компрометацию официальных систем Ledger.
Для пользователей, самостоятельно хранящих свои средства, копирование фразы восстановления означает, что злоумышленник может восстановить кошелёк на другом устройстве и вывести активы. Простая замена устройства с сохранением прежней фразы из 24 слов не аннулирует старую копию. С другой стороны, если устройство приобретено из надёжного источника и нет оснований полагать, что фраза вводилась на подозрительном устройстве, не следует делать вывод, что все устройства Ledger скомпрометированы, только на основании этой новости. Это инцидент, связанный с доверием к цепочке поставок аппаратных кошельков и процедуре восстановления, а не уязвимость протоколов BTC, ETH или других блокчейнов. Проверка спотовых торгов Binance за этот период не выявила активов, напрямую связанных с данным инцидентом в цепочке поставок, поэтому теги активов не добавляются.
【Что могут сделать владельцы устройств】Если устройство приобретено через CryptoBilis или фраза восстановления вводилась на устройстве неизвестного происхождения, следует считать её потенциально скомпрометированной: приобретите через надёжный канал новое, нераспечатанное устройство с проверяемым происхождением, офлайн сгенерируйте совершенно новую фразу восстановления и переведите активы на новый адрес кошелька. Не создавайте «новый аккаунт» на старом устройстве, продолжая использовать прежнюю фразу. Не вводите фразу на компьютере, веб-сайте или в мобильном приложении и не отправляйте её никому, кто представляется сотрудником службы поддержки. Перед переводом проверьте адрес получателя через независимый надёжный канал и ориентируйтесь на адрес, отображаемый на экране устройства. Сохраните записи старого кошелька для проверки, но не переводите новые активы на старый адрес. Если вы не можете подтвердить происхождение устройства или порядок действий при переводе, приостановите операцию и обратитесь в официальную службу поддержки Ledger. Не переходите по ссылкам для перевода, размещённым в комментариях в соцсетях.
【Что отслеживать и где проходят границы выводов】Следует следить за тем, подтвердит ли Ledger наличие устройств из каналов, отличных от CryptoBilis, опубликует ли проверяемый список затронутых партий и методику проверки, а также за результатами расследования соответствующих органов и тем, возобновит ли MediaMarktSaturn продажи. Если доказательства по-прежнему ограничиваются CryptoBilis и нет подтверждений того, что затронуты другие каналы или системы производителя, выводы следует ограничить риском в конкретной цепочке поставок. Если Ledger позднее подтвердит наличие одинаковых имплантов в нескольких независимых каналах или появятся доказательства воздействия на официальные системы, оценку о том, что «подтверждённые случаи пока сосредоточены у одного дистрибьютора», необходимо будет пересмотреть. Снятие устройств с продажи ритейлером — это предупредительная мера, которая сама по себе не доказывает, что продававшиеся им устройства были заражены.
Источники: официальное обновление Ledger (2026-10-13) https://x.com/Ledger/status/2109896739985453358; CoinDesk (2026-10-13, описание Ledger механизма работы импланта и подтверждённых случаев) https://www.coindesk.com/tech/2026/10/13/ledger-says-spy-chip-inside-cryptobilis-ledger-devices-transmitted-wallet-keys-over-mobile-network; Cointelegraph (2026-10-13, технические подробности и отсутствие подтверждения европейских случаев) https://cointelegraph.com/news/ledger-cellular-implants-wallets-sold-cryptobilis; Cointelegraph (2026-10-13, снятие устройств с продажи MediaMarktSaturn и реакция компании) https://cointelegraph.com/news/mediamarkt-pulls-ledger-wallet-security-incident
【Подтверждённые факты｜13 октября 2026 года】Сегодня Ledger сообщила, что внедрённый модуль, выявленный в ходе расследования, считывал информацию с экрана устройства, когда на нём отображались данные настройки. В том числе модуль мог считывать введённую или записанную пользователем фразу восстановления из 24 слов. Затем данные передавались через мобильную сеть LTE/eSIM, встроенную в устройство. Ledger также заявила, что имплант не взламывал защищённый чип и не изменял операционную систему устройства или процесс подписания транзакций. По словам Ledger, подтверждённые на данный момент случаи, связанные с кражей 9 октября, по-прежнему касаются канала CryptoBilis; компания также проверяет, поступали ли сообщения о подобных случаях от других источников, помимо дистрибьютора.
Европейский ритейлер MediaMarktSaturn снял продукцию Ledger с продажи в магазинах и на онлайн-платформах и сообщил, что связывается с производителем. В соцсетях появились сообщения о проблемах с устройствами, купленными у этого ритейлера, однако Ledger пока не подтвердила связь этих случаев в Европе с внедрёнными модулями. Поэтому нельзя представлять снятие товаров с продажи ритейлером как подтверждение того, что европейские устройства оказались затронуты.
【Моя оценка｜Что изменилось с появлением этой информации】В предыдущем обновлении уже было подтверждено, что «как минимум в одном устройстве, проданном через CryptoBilis, обнаружен несанкционированный аппаратный имплант». Главное новое обстоятельство — Ledger описала механизм считывания фразы восстановления и её передачи через мобильную сеть, а крупный ритейлер принял меры и снял устройства с продажи. Это переводит риск из абстрактного сценария модификации устройства в конкретную угрозу для фразы восстановления, отображаемой на экране во время первоначальной настройки. Вместе с тем заявления Ledger о защищённом чипе и процессе подписания означают, что имеющиеся данные не подтверждают ни взлом чипа, подписывающего транзакции с использованием приватных ключей, ни компрометацию официальных систем Ledger.
Для пользователей, самостоятельно хранящих свои средства, копирование фразы восстановления означает, что злоумышленник может восстановить кошелёк на другом устройстве и вывести активы. Простая замена устройства с сохранением прежней фразы из 24 слов не аннулирует старую копию. С другой стороны, если устройство приобретено из надёжного источника и нет оснований полагать, что фраза вводилась на подозрительном устройстве, не следует делать вывод, что все устройства Ledger скомпрометированы, только на основании этой новости. Это инцидент, связанный с доверием к цепочке поставок аппаратных кошельков и процедуре восстановления, а не уязвимость протоколов BTC, ETH или других блокчейнов. Проверка спотовых торгов Binance за этот период не выявила активов, напрямую связанных с данным инцидентом в цепочке поставок, поэтому теги активов не добавляются.
【Что могут сделать владельцы устройств】Если устройство приобретено через CryptoBilis или фраза восстановления вводилась на устройстве неизвестного происхождения, следует считать её потенциально скомпрометированной: приобретите через надёжный канал новое, нераспечатанное устройство с проверяемым происхождением, офлайн сгенерируйте совершенно новую фразу восстановления и переведите активы на новый адрес кошелька. Не создавайте «новый аккаунт» на старом устройстве, продолжая использовать прежнюю фразу. Не вводите фразу на компьютере, веб-сайте или в мобильном приложении и не отправляйте её никому, кто представляется сотрудником службы поддержки. Перед переводом проверьте адрес получателя через независимый надёжный канал и ориентируйтесь на адрес, отображаемый на экране устройства. Сохраните записи старого кошелька для проверки, но не переводите новые активы на старый адрес. Если вы не можете подтвердить происхождение устройства или порядок действий при переводе, приостановите операцию и обратитесь в официальную службу поддержки Ledger. Не переходите по ссылкам для перевода, размещённым в комментариях в соцсетях.
【Что отслеживать и где проходят границы выводов】Следует следить за тем, подтвердит ли Ledger наличие устройств из каналов, отличных от CryptoBilis, опубликует ли проверяемый список затронутых партий и методику проверки, а также за результатами расследования соответствующих органов и тем, возобновит ли MediaMarktSaturn продажи. Если доказательства по-прежнему ограничиваются CryptoBilis и нет подтверждений того, что затронуты другие каналы или системы производителя, выводы следует ограничить риском в конкретной цепочке поставок. Если Ledger позднее подтвердит наличие одинаковых имплантов в нескольких независимых каналах или появятся доказательства воздействия на официальные системы, оценку о том, что «подтверждённые случаи пока сосредоточены у одного дистрибьютора», необходимо будет пересмотреть. Снятие устройств с продажи ритейлером — это предупредительная мера, которая сама по себе не доказывает, что продававшиеся им устройства были заражены.
Источники: официальное обновление Ledger (2026-10-13) https://x.com/Ledger/status/2109896739985453358; CoinDesk (2026-10-13, описание Ledger механизма работы импланта и подтверждённых случаев) https://www.coindesk.com/tech/2026/10/13/ledger-says-spy-chip-inside-cryptobilis-ledger-devices-transmitted-wallet-keys-over-mobile-network; Cointelegraph (2026-10-13, технические подробности и отсутствие подтверждения европейских случаев) https://cointelegraph.com/news/ledger-cellular-implants-wallets-sold-cryptobilis; Cointelegraph (2026-10-13, снятие устройств с продажи MediaMarktSaturn и реакция компании) https://cointelegraph.com/news/mediamarkt-pulls-ledger-wallet-security-incident