Обещание безопасности аппаратного кошелька, который «не подключается к интернету», было нарушено ещё до распаковки
Новые сведения, обнародованные 18 октября, расширили масштаб последствий этой атаки на цепочку поставок: в кошельке Ledger Flex, купленном в аэропорту Чанги в Сингапуре, обнаружили модифицированный разъём дисплея, а также чип сотовой связи и SIM-карту. Заражённые устройства, возможно, уже попали в обычные каналы розничных продаж в нескольких странах, и дело больше не ограничивается одним первоначально выявленным дистрибьютором.
Хронология событий: начиная с 9 октября за короткий промежуток времени опустошили более 300 кошельков. По оценкам сторонних исследовательских организаций, изучающих блокчейн, сумма ущерба составляет от 80 до 93,2 млн долларов: Bitquery насчитала 315 кошельков и около 93,2 млн долларов; Galaxy Digital оценила ущерб примерно в 90 млн долларов; Specter — в 86 млн долларов; Arkham — в 80 млн долларов (по данным публикации CoinDesk от 2026-10-12). Около 70 млн долларов средств пострадавших составляли USDT в сети Tron, остальная сумма приходилась на BTC, ETH, BNB, SOL и Polygon.
На способ совершения атаки стоит обратить внимание: имплант представлял собой небольшую печатную плату, спрятанную за экраном и оснащённую отдельным модулем сотовой связи. При первоначальной настройке на экране отображалась мнемоническая фраза из 24 слов. Имплант перехватывал её и напрямую отправлял злоумышленникам через LTE/eSIM, полностью минуя компьютер пользователя и Wi-Fi. Затем злоумышленники восстанавливали кошелёк в другом месте с помощью этих 24 слов и переводили средства.
10 октября Ledger официально подтвердила, что как минимум в одном из причастных устройств был обнаружен несанкционированный аппаратный имплант. На данный момент все подтверждённые случаи связаны с каналами дистрибьютора CryptoBilis из Юго-Восточной Азии (Малайзия, Индонезия, Филиппины); собственные системы компании и каналы прямых продаж не пострадали. CryptoBilis прекратила продажу всех аппаратных кошельков, а её магазин в Куала-Лумпуре временно закрыт.
Важно понимать: взломали не защищённый чип, а «цепочку доверия» — доверие к тому, что коробка оригинальная, и к словам «официальный авторизованный дистрибьютор». Ledger уже предупредила клиентов CryptoBilis: не включайте ещё не настроенные устройства, а средства с уже активированных кошельков переведите на новые устройства, купленные напрямую на официальном сайте, и используйте новую мнемоническую фразу.
Что касается выводов: после этого случая проверка аппаратного кошелька при распаковке, возможно, должна стать такой же тщательной, как при приёмке высокоточного оборудования. Представление об «абсолютной безопасности» холодных кошельков переоценивается, но объект переоценки — не само устройство, а надёжность каналов дистрибуции. $BTC
#硬件钱包 #安全事件 #SupplyChainAttack
(Источники данных: CoinDesk, 10-12; CryptoBriefing, 10-13; оценки исследователей Bitquery/Specter/Arkham/Galaxy; пересказ Sina Finance от 10-18 о находке независимых исследователей. Сумма ущерба основана на оценках третьих сторон; Ledger не публиковала официальную сумму потерь. Это личное мнение, не являющееся инвестиционной рекомендацией.)
Новые сведения, обнародованные 18 октября, расширили масштаб последствий этой атаки на цепочку поставок: в кошельке Ledger Flex, купленном в аэропорту Чанги в Сингапуре, обнаружили модифицированный разъём дисплея, а также чип сотовой связи и SIM-карту. Заражённые устройства, возможно, уже попали в обычные каналы розничных продаж в нескольких странах, и дело больше не ограничивается одним первоначально выявленным дистрибьютором.
Хронология событий: начиная с 9 октября за короткий промежуток времени опустошили более 300 кошельков. По оценкам сторонних исследовательских организаций, изучающих блокчейн, сумма ущерба составляет от 80 до 93,2 млн долларов: Bitquery насчитала 315 кошельков и около 93,2 млн долларов; Galaxy Digital оценила ущерб примерно в 90 млн долларов; Specter — в 86 млн долларов; Arkham — в 80 млн долларов (по данным публикации CoinDesk от 2026-10-12). Около 70 млн долларов средств пострадавших составляли USDT в сети Tron, остальная сумма приходилась на BTC, ETH, BNB, SOL и Polygon.
На способ совершения атаки стоит обратить внимание: имплант представлял собой небольшую печатную плату, спрятанную за экраном и оснащённую отдельным модулем сотовой связи. При первоначальной настройке на экране отображалась мнемоническая фраза из 24 слов. Имплант перехватывал её и напрямую отправлял злоумышленникам через LTE/eSIM, полностью минуя компьютер пользователя и Wi-Fi. Затем злоумышленники восстанавливали кошелёк в другом месте с помощью этих 24 слов и переводили средства.
10 октября Ledger официально подтвердила, что как минимум в одном из причастных устройств был обнаружен несанкционированный аппаратный имплант. На данный момент все подтверждённые случаи связаны с каналами дистрибьютора CryptoBilis из Юго-Восточной Азии (Малайзия, Индонезия, Филиппины); собственные системы компании и каналы прямых продаж не пострадали. CryptoBilis прекратила продажу всех аппаратных кошельков, а её магазин в Куала-Лумпуре временно закрыт.
Важно понимать: взломали не защищённый чип, а «цепочку доверия» — доверие к тому, что коробка оригинальная, и к словам «официальный авторизованный дистрибьютор». Ledger уже предупредила клиентов CryptoBilis: не включайте ещё не настроенные устройства, а средства с уже активированных кошельков переведите на новые устройства, купленные напрямую на официальном сайте, и используйте новую мнемоническую фразу.
Что касается выводов: после этого случая проверка аппаратного кошелька при распаковке, возможно, должна стать такой же тщательной, как при приёмке высокоточного оборудования. Представление об «абсолютной безопасности» холодных кошельков переоценивается, но объект переоценки — не само устройство, а надёжность каналов дистрибуции. $BTC
#硬件钱包 #安全事件 #SupplyChainAttack
(Источники данных: CoinDesk, 10-12; CryptoBriefing, 10-13; оценки исследователей Bitquery/Specter/Arkham/Galaxy; пересказ Sina Finance от 10-18 о находке независимых исследователей. Сумма ущерба основана на оценках третьих сторон; Ledger не публиковала официальную сумму потерь. Это личное мнение, не являющееся инвестиционной рекомендацией.)