В деле о краже средств с аппаратных кошельков Ledger вчера появились новые цифры: отслежено 335 адресов, ущерб составил около 102 млн долларов.
Самое неприятное в этой истории — устройства были куплены через официальные каналы. Корпус оригинальный, упаковка настоящая, официальная проверка подлинности пройдена. Проблема была внутри корпуса: кто-то встроил туда чип размером примерно 2 мм, подключил его к линии передачи данных экрана и добавил модуль мобильной связи.
Когда вы настраивали кошелёк и переписывали с экрана эти 24 слова, чип фотографировал экран и отправлял снимок по мобильной сети. При этом он не взаимодействовал с защищённым чипом и не менял прошивку, поэтому на программном уровне обнаружить его невозможно.
Пострадавшие ничего не сделали неправильно: не раскрывали сид-фразу, не подтверждали никаких подписей, а активы всё равно исчезли.
Оценки разных блокчейн-компаний заметно расходятся: Bitquery сообщает о 102 млн долларов, Specter — более чем о 86 млн, а на 152 адресах, отмеченных Arkham, находится около 71,6 млн. Ledger официально не подтвердил ни одну из цифр и лишь заявил, что это дело рук организованной преступной группы, нацелившейся на каналы дистрибуции.
Мой вывод такой: аппаратный кошелёк решает проблему «приватный ключ не подключён к интернету», но не решает проблему «оригинальная ли коробка у вас в руках». Первым делом после покупки нужно проверить пломбу, а не сразу подключать устройство и пользоваться им.
Если вы пользуетесь аппаратным кошельком, покупаете напрямую на официальном сайте или у сторонних продавцов?
#BTC #钱包安全 #крипто
Самое неприятное в этой истории — устройства были куплены через официальные каналы. Корпус оригинальный, упаковка настоящая, официальная проверка подлинности пройдена. Проблема была внутри корпуса: кто-то встроил туда чип размером примерно 2 мм, подключил его к линии передачи данных экрана и добавил модуль мобильной связи.
Когда вы настраивали кошелёк и переписывали с экрана эти 24 слова, чип фотографировал экран и отправлял снимок по мобильной сети. При этом он не взаимодействовал с защищённым чипом и не менял прошивку, поэтому на программном уровне обнаружить его невозможно.
Пострадавшие ничего не сделали неправильно: не раскрывали сид-фразу, не подтверждали никаких подписей, а активы всё равно исчезли.
Оценки разных блокчейн-компаний заметно расходятся: Bitquery сообщает о 102 млн долларов, Specter — более чем о 86 млн, а на 152 адресах, отмеченных Arkham, находится около 71,6 млн. Ledger официально не подтвердил ни одну из цифр и лишь заявил, что это дело рук организованной преступной группы, нацелившейся на каналы дистрибуции.
Мой вывод такой: аппаратный кошелёк решает проблему «приватный ключ не подключён к интернету», но не решает проблему «оригинальная ли коробка у вас в руках». Первым делом после покупки нужно проверить пломбу, а не сразу подключать устройство и пользоваться им.
Если вы пользуетесь аппаратным кошельком, покупаете напрямую на официальном сайте или у сторонних продавцов?
#BTC #钱包安全 #крипто