Ledger сообщил, что секретный чип, встроенный в аппаратные кошельки, поставленные его реселлером CryptoBilis, считывал с экрана фразы восстановления из 24 слов и передавал их злоумышленнику через сотовую сеть. По оценкам исследователей, ущерб составил от 84,2 до 93,2 миллиона долларов.

Во вторник французская компания впервые раскрыла подробности вектора атаки в обновлении блога на X, опубликованном её командой безопасности Ledger Donjon. Это, пожалуй, самое подробное объяснение того, как владельцы взломанных устройств потеряли доступ к своей криптовалюте, даже не взаимодействуя с программным обеспечением Ledger.

Как имплант считывал ключи с экрана

По данным Ledger, дополнительный чип находился внутри корпуса устройства. При настройке кошелька пользователь видит 24 слова, служащие резервной копией учётной записи; микроконтроллер импланта считывает их и преобразует в данные, которые передаются по LTE через встроенную SIM-карту.

Такой код восстановления — это, по сути, учётная запись. С его помощью можно восстановить кошелёк на другом устройстве, не используя скомпрометированное устройство и не совершая никаких транзакций.

Обновление о устройствах Ledger в MediaMarkt Saturn 🔽

По состоянию на 13 октября MediaMarkt Saturn при согласовании с Ledger приостановила продажу устройств Ledger в своих магазинах и онлайн на время расследования после сообщения клиента из Германии об обнаружении импланта. О потерях средств не сообщалось.

У нас нет никаких свидетельств того, что инфраструктура, системы или сервисы Ledger были скомпрометированы. Служба поддержки Ledger изучает сообщения пользователей, а эксперты Ledger по кибербезопасности из Donjon проверят устройства, которые мы получим: https://t.co/QzukOZdEzq.

Если у вас есть вопросы о приобретённом устройстве, обратитесь в службу поддержки Ledger: https://t.co/QzukOZdEzq. Ledger никогда не позвонит вам, не напишет напрямую и не попросит сообщить вашу 24-словную фразу восстановления.

Многие распространяемые в интернете утверждения и цифры не подтверждены. Мошенники часто пытаются воспользоваться подобными инцидентами. Следите за обновлениями только в официальных каналах Ledger и MediaMarkt Saturn. Мы будем делиться новостями по мере продолжения расследования.

— Ledger (@Ledger) 13 октября 2026 года

Согласно сообщениям, взломанными оказались устройства модели Ledger Nano X. Марк Карпелес, бывший генеральный директор Mt. Gox, а ныне сотрудник Karpeles Lab, поделился фотографией импланта, скрытого за экраном, и отметил, что на него указывал кабель антенны. Исследовательская лаборатория Tibane Labs подтвердила обнаружение и сообщила, что у неё есть две версии импланта, в том числе одна с микроконтроллером ST STM32G431KBU6, eSIM размером 2×2 мм и LTE-модулем.

Атака на цепочку поставок, а не взлом программного обеспечения

Однако Ledger уточнила, чего атака не затронула. Имплант не повредил Secure Element — чип, обеспечивающий безопасность приватных ключей. Он не повлиял на операционную систему, транзакции и подписи, как сообщила компания в публикации в X.

Компания охарактеризовала произошедшее как физическую атаку на цепочку поставок, а не как взлом программного обеспечения или внутренних процессов. По словам компании Ledger, поставившей более 8 миллионов устройств, её система «Genuine Check» не способна обнаружить имплант, если оригинальный Secure Element не затронут.

Оценка ущерба от кражи Ledger превысила $86 млн, а Tether блокирует $10 млн

Ledger не раскрыла ни число пострадавших, ни размер ущерба. Однако аналитические компании, изучающие блокчейн, провели собственные расследования и получили свои оценки. Согласно сообщениям, убытки на сумму около $93,2 млн распределены более чем по 300 кошелькам. Следователь Specter оценивает потери более чем в $86 млн, а Yfarmx повышает эту сумму до $103 млн. Tether замораживает USDT на сумму $10 млн, связанных с кражей.

Об этом стало известно 9 октября, когда Ledger начала расследование сообщений о предполагаемом выводе средств и потребовала от CryptoBilis прекратить продажу устройств для подписи транзакций. 10 октября Ledger сообщила, что в одном из устройств пострадавших пользователей обнаружен нелегальный имплант. На данный момент все подтверждённые потери связаны с устройством, проданным CryptoBilis — авторизованным реселлером в Индонезии, Малайзии и на Филиппинах.

Конкуренты разрывают связи с CryptoBilis

Сообщается, что CryptoBilis прекратила продажу и доставку аппаратных кошельков разных брендов во всех трёх странах и закрыла свои обычные магазины, расширив ранее принятое решение, которое касалось только бренда Ledger. Компания-реселлер заявила, что разбирается в ситуации при помощи внешних экспертов.

Trezor заявила, что не обнаружила признаков вмешательства в работу своих устройств, перепроданных компанией CryptoBilis, однако решила исключить реселлера из списка авторизованных дистрибьюторов. Компания OneKey сообщила, что о связанных с этим случаем потерях не заявлялось, и также исключила CryptoBilis из списка авторизованных реселлеров. Кроме того, она предложила бесплатно заменить устройства OneKey, приобретённые через CryptoBilis в период с 1 марта по 12 октября 2026 года.

Сообщения о случаях за пределами сети реселлера

«Ledger сообщила, что расследует сообщения об имплантах в устройствах, проданных не компанией CryptoBilis, однако пока не подтвердила кражу с устройства, приобретённого в каком-либо другом магазине», — пишет Cointelegraph. Кроме того, по данным Cointelegraph, пользователь X по имени Йоханнес опубликовал фотографии двух устройств Ledger. Он утверждает, что приобрёл их отдельно в магазинах MediaMarkt в Европе и что оба устройства оказались с имплантами.

Ledger пока не подтвердила связь между сообщениями из Европы и случаем CryptoBilis. Совет Ledger пользователям продукции CryptoBilis предельно ясен: не инициализируйте устройство для подписи транзакций, приобретённое у CryptoBilis. Если вы уже это сделали, переведите средства на другое устройство и создайте новую фразу восстановления.

Самые проницательные умы криптоиндустрии уже читают нашу рассылку. Хотите к ним присоединиться? Подписывайтесь.