9 октября 2026 года стало известно о серьёзном инциденте безопасности, связанном с аппаратными кошельками Ledger, распространявшимися компанией CryptoBilis — реселлером, работающим в Юго-Восточной Азии. Этот случай вызвал обеспокоенность в экосистеме Web3, поскольку, согласно опубликованным результатам расследования, некоторые устройства подверглись физическому вмешательству с целью кражи фраз восстановления их владельцев. Инцидент показывает, что хранение криптовалюты в кошельке, не подключённом к интернету, не гарантирует полной защиты, если само устройство было скомпрометировано.
Согласно расследованию Bitquery, опубликованному 15 октября, кража затронула около 324 кошельков, а отслеженные потери составили примерно 102 миллиона долларов в шести блокчейн-сетях. Первоначальные оценки превышали 86 миллионов долларов, но выросли после того, как следователи обнаружили новые адреса и транзакции, связанные с атакой. Эти цифры основаны на независимом анализе движений средств в блокчейне, и их не следует путать с окончательным балансом, подтверждённым Ledger.
Наиболее тревожным в этом инциденте был использованный метод. Согласно техническим отчётам, как минимум в одном из проверенных устройств находился несанкционированный электронный компонент, предназначенный для перехвата информации с экрана во время первоначальной настройки кошелька. Предположительно, имплант был оснащён сотовой связью через eSIM и LTE, что позволяло передавать полученную информацию без постоянного USB-подключения к компьютеру.
Главной целью было получить все 24 слова фразы восстановления, также известной как seed-фраза. Эти слова позволяют восстановить закрытые ключи кошелька и вернуть доступ к средствам с другого совместимого устройства. Поэтому, получив фразу, злоумышленники могли контролировать активы жертв, даже не имея физического доступа к оригинальному Ledger. Пользователь мог продолжать видеть своё устройство и считать, что оно работает нормально, в то время как его средства находились под угрозой.
Расследование показало, что проблема связана с цепочкой поставок устройств, связанных с CryptoBilis. Согласно задокументированной гипотезе, некоторые устройства были изменены до того, как попали к покупателям. Это вызывает особую тревогу, поскольку покупатель может приобрести устройство известного бренда и не подозревать, что оно было изменено в процессе распространения. Кроме того, проверки подлинности программного обеспечения не обязательно позволяют обнаружить физически добавленный электронный компонент.
Хронология событий указывает на признаки заранее подготовленной операции. Согласно анализу Bitquery, примерно за две недели до основных переводов были выявлены небольшие тестовые транзакции. 9 октября стали появляться сообщения о кражах, а Ledger расследовала случаи с устройствами, связанными с CryptoBilis, и требовала приостановить продажи и поставки. В последующие дни появились дополнительные сведения об электронном компоненте, перехвате фраз восстановления и отслеживании украденных активов. 15 октября Bitquery повысила оценку до примерно 102 миллионов долларов, распределённых между 324 кошельками.
Отслеживание денег раскрыло ещё одну важную часть операции. Следователи обнаружили переводы между различными активами и блокчейн-сетями, в том числе обмен токенов, таких как USDT и USDD, на ETH. Они также выявили около 7 260 ETH, отправленных в Tornado Cash с 9 по 13 октября, а также более поздние переводы, связанные с Zcash. Использование межсетевых обменных сервисов и инструментов, затрудняющих отслеживание, может усложнить установление конечного получателя средств, хотя публичные транзакции по-прежнему позволяют анализировать определённые закономерности.
Согласно тому же анализу, Tether заморозила около 10 миллионов долларов в USDT на 20 кошельках, связанных с инцидентом. Эта мера может помешать переводу определённых активов, но не означает, что все деньги были возвращены. В опубликованном отчёте об отслеживании также указано, что около 84 миллионов долларов всё ещё можно было обнаружить в блокчейне. Важно различать отслеженные средства, замороженные средства и деньги, фактически возвращённые пострадавшим: это разные категории.
Этот случай также вызвал вопросы об ответственности дистрибьютора. CryptoBilis имела коммерческие отношения с поставками затронутых устройств, и Ledger потребовала остановить продажи и поставки на время расследования произошедшего. Также появились заявления о предыдущих изменениях в структуре собственности компании. Однако коммерческая связь с устройствами, подвергшимися вмешательству, сама по себе не доказывает, что дистрибьютор сознательно участвовал в атаке. По состоянию на дату публикации этого отчёта, без убедительных доказательств нельзя возлагать ответственность за кражу на конкретное лицо или компанию.
Ещё один важный момент: нет доказательств того, что внутренние системы Ledger подверглись прямому взлому. Опубликованные данные указывают прежде всего на физическое вмешательство в некоторые устройства на этапе распространения, а не на общую уязвимость Bitcoin, Ethereum или всех кошельков этого бренда. Поэтому неверно утверждать, что все устройства Ledger были взломаны или что каждый владелец кошелька этого производителя автоматически лишился безопасности своих средств.
Пользователям прежде всего рекомендуется проверять происхождение своих устройств и следить за официальными сообщениями производителя. Тем, кто приобрёл устройство через дистрибьютора, связанного с инцидентом, следует обратиться в официальную службу поддержки до его использования, если настройка ещё не была выполнена. Если есть подозрение, что фраза восстановления скомпрометирована, необходимо перевести средства на новый безопасный кошелёк, созданный с использованием совершенно новой фразы. Не следует повторно использовать старые слова или сообщать их людям, которые представляются техническими специалистами, следователями или сотрудниками службы поддержки.
Также важно помнить, что добросовестным специалистам никогда не нужна фраза восстановления, чтобы помочь разобраться с проблемой. Сообщения с просьбой сообщить эти слова следует считать подозрительными, даже если в них используются официальные логотипы или упоминается расследование в сфере безопасности.
В заключение: инцидент, связанный с Ledger и CryptoBilis, служит важным напоминанием для рынка цифровых активов. Холодные кошельки снижают риски, связанные с постоянным подключением к интернету, но не устраняют опасность вмешательства в устройства, технических сбоев или кражи закрытых ключей. Безопасность самостоятельного хранения зависит как от целостности устройства, так и от защиты фразы восстановления. Оценка ущерба более чем в 100 миллионов долларов демонстрирует потенциальный масштаб инцидента, хотя к окончательным потерям и распределению ответственности следует относиться с осторожностью, пока расследование продолжается.
Источники: Bitquery — анализ транзакций и отслеживание средств; The Block — сообщения о подтверждении наличия импланта; CoinDesk — освещение расследования и оценок убытков; официальные заявления Ledger об устройствах, затронутых инцидентом. $BTC $BTW #Ledger #LedgerAttack
