Разве аппаратный кошелёк не считается самым безопасным? На этот раз хакеры добрались даже до его экрана.
На этой неделе официальная команда безопасности Ledger опубликовала подробное описание всей цепочки атаки: в некоторые устройства, проданные дистрибьютором CryptoBilis из Юго-Восточной Азии, за экраном вмонтировали шпионский чип с микроконтроллером и eSIM. Когда пользователь впервые включал устройство и на экране появлялась мнемоническая фраза из 24 слов, чип считывал её и передавал в режиме реального времени по сети LTE. Компьютер для этого не нужен — устройство само «звонит домой».
Самое пугающее: защищённый чип вообще не тронули, а официальная проверка подлинности Ledger показывала, что каждое заражённое устройство — «оригинал». Программная проверка не защищает от физического вмешательства.
Данные об убытках (оценки организаций, отслеживающих транзакции в блокчейне): по оценке Specter, около 86 млн долларов; по оценке Bitquery — более 93 млн долларов, затронуты 311 кошельков. По сетям: $TRX — около 70,5 млн долларов, $BTC — около 16,8 млн долларов, $ETH — около 3,7 млн долларов, BNB Chain — около 1,45 млн долларов. Tether содействовала заморозке связанных с инцидентом USDT на сумму около 10 млн долларов. Подозрительные переводы пришлись на период с 9 по 10 октября.
Моё мнение: главный урок этой истории не в том, что «аппаратные кошельки больше не годятся», а в том, что цепочка поставок — самое уязвимое звено. Каким бы надёжным ни было само устройство, если оно прошло через ненадёжные руки, считай, ты ходишь голым. Ещё больше настораживает заявление бывшего CEO Mt.Gox: по его словам, о модифицированных устройствах Ledger сообщили ещё в декабре прошлого года. Предупреждение прозвучало давно, а публичная реакция запоздала. Поэтому запомните три правила: покупайте аппаратные кошельки только напрямую на официальном сайте; мнемоническую фразу всегда записывайте от руки и храните офлайн — никогда не фотографируйте и не сохраняйте в телефоне; если за последние 90 дней вы купили Ledger через сторонний канал вроде CryptoBilis, следуйте официальной рекомендации: считайте мнемоническую фразу раскрытой, немедленно переведите средства и создайте новую фразу.
Данные по состоянию на: 2026-10-18 08:52 UTC
Источники: Sina Finance; WhaleAgent (со ссылкой на CoinDesk и отчёт Ledger Donjon); Crypto Briefing (со ссылкой на Financial Times)
Только для обмена информацией, не является инвестиционной рекомендацией.
Как вы храните свою мнемоническую фразу? Обсудим в комментариях.
На этой неделе официальная команда безопасности Ledger опубликовала подробное описание всей цепочки атаки: в некоторые устройства, проданные дистрибьютором CryptoBilis из Юго-Восточной Азии, за экраном вмонтировали шпионский чип с микроконтроллером и eSIM. Когда пользователь впервые включал устройство и на экране появлялась мнемоническая фраза из 24 слов, чип считывал её и передавал в режиме реального времени по сети LTE. Компьютер для этого не нужен — устройство само «звонит домой».
Самое пугающее: защищённый чип вообще не тронули, а официальная проверка подлинности Ledger показывала, что каждое заражённое устройство — «оригинал». Программная проверка не защищает от физического вмешательства.
Данные об убытках (оценки организаций, отслеживающих транзакции в блокчейне): по оценке Specter, около 86 млн долларов; по оценке Bitquery — более 93 млн долларов, затронуты 311 кошельков. По сетям: $TRX — около 70,5 млн долларов, $BTC — около 16,8 млн долларов, $ETH — около 3,7 млн долларов, BNB Chain — около 1,45 млн долларов. Tether содействовала заморозке связанных с инцидентом USDT на сумму около 10 млн долларов. Подозрительные переводы пришлись на период с 9 по 10 октября.
Моё мнение: главный урок этой истории не в том, что «аппаратные кошельки больше не годятся», а в том, что цепочка поставок — самое уязвимое звено. Каким бы надёжным ни было само устройство, если оно прошло через ненадёжные руки, считай, ты ходишь голым. Ещё больше настораживает заявление бывшего CEO Mt.Gox: по его словам, о модифицированных устройствах Ledger сообщили ещё в декабре прошлого года. Предупреждение прозвучало давно, а публичная реакция запоздала. Поэтому запомните три правила: покупайте аппаратные кошельки только напрямую на официальном сайте; мнемоническую фразу всегда записывайте от руки и храните офлайн — никогда не фотографируйте и не сохраняйте в телефоне; если за последние 90 дней вы купили Ledger через сторонний канал вроде CryptoBilis, следуйте официальной рекомендации: считайте мнемоническую фразу раскрытой, немедленно переведите средства и создайте новую фразу.
Данные по состоянию на: 2026-10-18 08:52 UTC
Источники: Sina Finance; WhaleAgent (со ссылкой на CoinDesk и отчёт Ledger Donjon); Crypto Briefing (со ссылкой на Financial Times)
Только для обмена информацией, не является инвестиционной рекомендацией.
Как вы храните свою мнемоническую фразу? Обсудим в комментариях.