Ledger приостановила продажу аппаратных кошельков на 7 азиатских рынках из-за устройств, в которые были установлены несанкционированные компоненты; предполагается, что это привело к потерям в размере 86 млн долларов США.

Ledger потребовала от агентов и дистрибьюторов в Юго-Восточной Азии и Гонконге приостановить продажу аппаратных кошельков компании и убрать продукцию с полок на время расследования случаев установки в устройства несанкционированных компонентов. Об этом компания сообщила в соцсети X во вторник. Запрет на продажу распространяется на 7 рынков: Индонезию, Сингапур, Таиланд, Филиппины, Вьетнам, Малайзию и Гонконг.

По данным Ledger, подтверждённые на данный момент случаи ограничены Юго-Восточной Азией. Компания не подтвердила ни одного случая потери активов, связанного с устройствами, приобретёнными в других регионах. Ранее Ledger сообщила, что все подтверждённые случаи потерь были связаны с устройствами, проданными через CryptoBilis — регионального дистрибьютора.

Исследовательская группа по безопасности Donjon компании Ledger обнаружила несанкционированный компонент, способный считывать отображаемую на экране фразу восстановления из 24 слов во время первоначальной настройки. Затем эта информация передавалась за пределы устройства через мобильную сеть LTE. Любой, кто знает фразу восстановления, может восстановить кошелёк и перевести все активы на другой адрес. Специалисты по расследованию транзакций в блокчейне из Specter отследили подозрительные случаи кражи на общую сумму более 86 миллионов долларов. Однако Ledger заявила, что пока не подтвердила эту сумму.

Уязвимость — в цепочке поставок

Этот случай показывает, что риски для аппаратных кошельков связаны не только с программным обеспечением или инфраструктурой производителя, но и с тем, как устройство попадает к пользователю. Ledger продолжает расследование, чтобы установить, кто вмешался в устройства и на каком этапе цепочки поставок это произошло. Компания заявила, что на данный момент нет признаков взлома её инфраструктуры, систем, сервисов или собственных каналов продаж.

Последствия инцидента затронули и Европу. В тот же вторник сеть магазинов электроники MediaMarkt Saturn прекратила продажу продукции Ledger в магазинах и онлайн — с согласия Ledger. Это решение последовало после того, как покупатель в Германии сообщил, что обнаружил несанкционированный компонент внутри устройства. Ledger сообщила об этом в отдельной публикации на X. На данный момент в этом случае о потере активов не сообщалось.

Конкурент Ledger также быстро отреагировал. Во вторник производитель аппаратных кошельков Trezor объявил, что с 1 января 2027 года прекратит выдавать реселлерам разрешения на дистрибуцию. Trezor назвала это «мерой предосторожности» и заявила, что на данный момент нет доказательств взлома её устройств.

Эти события ставят важный вопрос о модели дистрибуции аппаратных кошельков через третьих лиц. Такая модель помогает производителям быстро расширять рынок, но также создаёт дополнительные уязвимые места, которыми могут воспользоваться злоумышленники. Для пользователей на затронутых рынках, включая Вьетнам, источник приобретения устройства становится не менее важным фактором безопасности, чем сама технология кошелька.