Skandal z chipem szpiegowskim Ledger: czy hardware wallety nadal chronią cold storage kryptowalut?

​Ledger potwierdził obecność nieautoryzowanego implantu sprzętowego w urządzeniu klienta, powiązanego ze stratami w kryptowalutach przekraczającymi 86 mln USD. Ujawnia to poważną lukę w łańcuchu dostaw portfeli sprzętowych. Dalsze dochodzenie dotyczące południowoazjatyckiego sprzedawcy CryptoBilis wskaże ryzyko fizycznej ingerencji oraz sposoby przywrócenia statusu cold walletów jako najbezpieczniejszej metody przechowywania kryptowalut.

Potwierdzony implant i skala strat

Potwierdzenie przez Ledger obecności nieautoryzowanego implantu sprzętowego ujawniło wiele ukrytych problemów związanych z jego portfelami. Główne ryzyko dotyczy kupujących, którzy nabyli urządzenia za pośrednictwem południowoazjatyckiego sprzedawcy CryptoBilis. Ledger twierdzi, że jego systemy nie mają żadnych luk. Analitycy blockchain z Bitquery oszacowali, że z 315 portfeli w sieciach Tron, Bitcoin, Ethereum, BNB Chain, Polygon i Solana skradziono około 93,2 mln USD. Tether zamroził około 10 mln USD w powiązanych USDT. Ledger nie potwierdził jeszcze tych danych. 

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

10 października dział wsparcia Ledger opublikował aktualizację sytuacji, stwierdzając: 

„Ledger może potwierdzić, że jedno z urządzeń dotkniętych problemem użytkowników zawierało nieautoryzowany implant sprzętowy”. 

Firma współpracuje z organami ścigania oraz kolektywem bezpieczeństwa SEAL 911. Zażądała od CryptoBilis wstrzymania całej sprzedaży portfeli sprzętowych. 

„Nie mamy żadnych przesłanek wskazujących, że infrastruktura bezpieczeństwa, systemy lub usługi Ledger zostały naruszone” — dodano w oświadczeniu. 

Budowa modułu szpiegowskiego

Badacze opisują zaawansowaną modyfikację fizyczną, która nie wymagała exploita programowego ani naruszenia secure elementu. Były dyrektor generalny Mt. Gox, Mark Karpelès, zbadał Ledger Nano X kupiony w Malezji i znalazł niewielką płytkę drukowaną. 

„Mój Ledger z implantem szpiegowskim pochodził z Malezji i miał nienaruszoną folię termokurczliwą” — napisał. „Nawet po otwarciu na początku nie widać implantu, który sprytnie ukryto tam, gdzie powinna znajdować się wyściółka ekranu”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Implant zazwyczaj obejmuje mikrokontroler, moduł komórkowy lub LTE, eSIM oraz antenę. Gdy urządzenie generuje 24-wyrazową frazę odzyskiwania podczas początkowej konfiguracji, moduł może odtworzyć słowa ze strumienia pikseli i przesłać je przez sieć komórkową. Ponieważ secure element pozostaje autentyczny, „Genuine Check” Ledger nadal kończy się powodzeniem. Dlatego typowy użytkownik praktycznie nie ma szans rozpoznać problemu.

Problem z kanałem dystrybucji, nie awaria fabryczna

Ledger oświadczył, że incydent dotyczy wyłącznie urządzeń sprzedawanych przez CryptoBilis, autoryzowanego sprzedawcę działającego w Indonezji, Malezji i na Filipinach. Obecnie nie odnotowano przypadków problemów z urządzeniami kupionymi bezpośrednio w sklepie Ledger. Firma zauważa, że żaden globalny łańcuch dostaw nie jest odporny na przechwycenie po opuszczeniu przez produkty fabryki. Byli współzałożyciele CryptoBilis oświadczyli, że firma zmieniła właściciela wcześniej w 2026 r., twierdząc tym samym, że nie ponoszą odpowiedzialności za te kradzieże.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Wzorzec aktywności on-chain wskazuje, że wiele portfeli w ciągu kilku sekund autoryzowało tego samego spendera. Dowodzi to, że przypadki te są przykładami skoordynowanego dostępu do kluczy prywatnych, a nie pojedynczych prób phishingu. Jednak w miarę trwania wewnętrznego dochodzenia Ledger nie powiązał każdego opróżnionego adresu z potwierdzonym implantem.

Analiza ekspertów i wcześniejsze ostrzeżenia

Analitycy sprzętu ustalili, że moduł pasywnie monitoruje niezaszyfrowany ruch wyświetlacza, nie atakując secure elementu. Według Karpelèsa i Tibane Labs późniejsze wersje ograniczyły widoczne okablowanie. Pozwoliło to zachować oryginalną baterię, by urządzenie przeszło pobieżną kontrolę. Eksperci przedstawili nowe wideoporadniki, dzięki którym użytkownicy mogą zweryfikować swoje urządzenia.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Dyrektor ds. bezpieczeństwa informacji SlowMist stwierdził, że taki moduł mógłby rejestrować frazy odzyskiwania. Pełne zrozumienie głównych przyczyn źródłowych wymaga jednak dochodzenia. Skandal doprowadził także do nowych prób phishingu: w wynikach wyszukiwania pojawiły się fałszywe strony internetowe i aplikacje Ledger. Przedstawiciele Ledger przypomnieli, że firma nigdy nie poprosi użytkownika o jego 24-wyrazową frazę.

Konsekwencje dla cold storage

Portfele sprzętowe są tradycyjnie uznawane za złoty standard samodzielnego przechowywania aktywów, ponieważ klucze prywatne nie opuszczają urządzenia. Skandal ten pokazuje jednak nowy rodzaj ryzyka, które może wystąpić na poziomie dystrybucji. Ledger twierdzi, że „pracuje nad dalszymi, ulepszonymi rozwiązaniami chroniącymi przed ingerencją”, i zaleca użytkownikom kupowanie wyłącznie przez oficjalne kanały oraz wizualną kontrolę portfeli przed konfiguracją. 

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Prace kryminalistyczne wskażą pełną skalę strat, ponieważ istnieje duże prawdopodobieństwo, że wiele przypadków nadal nie zostało udokumentowanych. Dlatego zalecamy traktowanie każdego urządzenia z dotkniętego problemem kanału jako potencjalnie skompromitowanego. Jeśli środki mogą być zagrożone, wygeneruj nową frazę seed na zaufanym (nowym) portfelu.