• Ledger потребовала от реселлеров в шести странах Юго-Восточной Азии и Гонконге приостановить продажи и убрать устройства с полок.

• По данным Bitquery, к 13 октября потери составили около $102 млн и затронули 324 кошелька.

• Скрытые печатные платы считывали 24-словные фразы восстановления и передавали их через LTE-модули с eSIM.

Приостановка продаж по всей Юго-Восточной Азии

Ledger распорядилась, чтобы дистрибьюторы и реселлеры в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, Малайзии и в Гонконге немедленно прекратили продажу аппаратных кошельков компании и убрали устройства с полок магазинов и из интернет-магазинов до завершения расследования. Распоряжение расширяет действие запрета на продажу, который ранее распространялся только на дистрибьютора CryptoBilis. Компания до сих пор не установила, на каком этапе цепочки поставок произошло вмешательство. Ledger называет приостановку продаж в регионе предупредительной мерой: на данный момент компания не обнаружила признаков проникновения во внутренние системы, программное обеспечение, прошивки или официальные каналы прямых продаж.

Компания подтвердила, как работают устройства, подвергшиеся вмешательству. Несанкционированные печатные платы были спрятаны внутри корпуса и под дисплеем. Когда покупатель впервые настраивает устройство и на экране появляется фраза восстановления Ledger из 24 слов, микроконтроллер в импланте считывает текст с экрана и передаёт его через LTE-модуль с предварительно настроенной eSIM. Получив эту фразу, злоумышленники могут восстановить кошелёк на устройстве, которое контролируют сами, — им не нужно снова прикасаться к устройству жертвы или убеждать кого-либо подписать транзакцию. Имплант не обходит защиту Secure Element, операционную систему Ledger или механизм подписания транзакций. Поэтому модифицированные устройства по-прежнему могут проходить Genuine Check: эта функция подтверждает подлинность защитного чипа, но не обнаруживает добавленные вокруг него электронные компоненты. Потери растут. Компания Bitquery, занимающаяся анализом блокчейна, сообщила, что по состоянию на 13 октября из 324 кошельков в сетях Tron, Bitcoin, Ethereum, Solana, BNB Chain и Polygon было выведено около 102 миллионов долларов — больше, чем ранее предполагавшиеся 86–93 миллиона долларов. Tether заморозила около 10 миллионов USDT на 20 адресах, а примерно 84 миллиона долларов всё ещё можно отследить в блокчейне. Злоумышленники перевели около 6 840 ETH в Tornado Cash, криптовалютный миксер, а другие средства провели через Zcash и сервис атомарных свопов, такой как THORChain, что затрудняет отслеживание и возврат средств. Ledger не подтвердил ни число пострадавших, ни итоговую сумму; 102 миллиона долларов — это независимая оценка на основе данных блокчейна.

След начался 9 октября, когда в сообщениях о краже средств указывалось, что они были выведены с кошельков, созданных на устройствах, купленных через CryptoBilis. В последующие дни пользователи из других регионов, в том числе с европейских рынков, сообщили, что устройства, приобретённые через обычные розничные каналы, тоже, по всей видимости, были модифицированы. Во вторник Ledger сообщила в публикации на X, что расследование продолжается и направлено на то, чтобы установить, кто работал с устройствами и на каком этапе цепочки поставок была произведена модификация. Приказ о приостановке продаж распространяется на реселлеров в семи указанных странах и выходит за рамки прежнего требования к CryptoBilis прекратить продажи и поставки. Ledger заявляет, что у компании нет доказательств взлома её инфраструктуры, внутренних систем, сервисов или официальных каналов прямых продаж, а подтверждённые на данный момент случаи ограничиваются Юго-Восточной Азией. Компания не установила связь между устройствами, купленными в других регионах, и кражами. Вопросы остаются: компания не опубликовала полный отчёт о результатах расследования, не подтвердила количество затронутых устройств и не сообщила, на каком этапе — при производстве, дистрибуции или розничной продаже — возникла проблема. Жалобы потребителей усиливают давление. Исследователь блокчейна 0xQuit предположил, что CryptoBilis может быть не единственным каналом, через который распространялись модифицированные устройства, и призвал владельцев проверить свои устройства. Однако Ledger не подтвердила это предположение, а вскрытие запечатанного устройства не является официальным способом обнаружения вмешательства. Один пользователь сообщил, что в конце июня купил Ledger Flex в магазине в аэропорту Чанги в Сингапуре, не вскрывал упаковку, но всё же обнаружил внутри полноценную антенну, аккумулятор, eSIM и LTE-модуль. Юрист из Сингапура публично потребовал от компании более чётких и оперативных рекомендаций для потребителей, чем стандартный ответ службы поддержки, сославшись на устройство, якобы купленное в крупном местном магазине электроники. Единый план компенсаций объявлен не был.

Почему речь идёт о регионе, а не о партии

Мы считаем, что переход от одного дистрибьютора к семи рынкам означает: Ledger до сих пор не может установить, где именно произошло вмешательство. Если бы компания выявила дефектную партию, она отозвала бы эту партию, а не устройства в целом регионе. Слепая зона Genuine Check — более серьёзная проблема: криптографическая проверка защищённого чипа не обнаруживает добавленные электронные компоненты, поэтому для потребителей единственным надёжным способом проверки остаётся физический осмотр. Владельцам нераспечатанных устройств не следует начинать их настройку. Тем, кто уже настроил устройство, следует перевести активы на чистое устройство с заново созданной фразой восстановления, а не восстанавливать кошелёк по исходным 24 словам. Любой, кто просит сообщить эту фразу по телефону или в личном сообщении, пытается совершить мошенничество: Ledger заявляет, что никогда не запрашивает её таким образом. Тем, кто настраивает новое устройство, также может пригодиться наше руководство по стейкингу Cardano (ADA) с помощью аппаратного кошелька Ledger.