Скандал со шпионским чипом Ledger: безопасны ли еще холодные кошельки?

​Ledger подтвердила наличие несанкционированного аппаратного импланта в устройстве клиента, связанного с криптовалютными потерями на сумму более $86 млн. Это выявляет серьезную уязвимость в цепочке поставок аппаратных кошельков. Дальнейшее расследование деятельности реселлера CryptoBilis в Юго-Восточной Азии покажет риски физического вмешательства и способы вернуть холодным кошелькам статус самого безопасного метода хранения криптовалюты.

Подтвержденный имплант и масштаб потерь

Подтверждение Ledger наличия несанкционированного аппаратного импланта выявило множество скрытых проблем в ее кошельках. Основные риски наблюдаются у покупателей, приобретавших устройства через реселлера CryptoBilis в Юго-Восточной Азии. Ledger заявляет, что ее системы не имеют уязвимостей. Блокчейн-аналитики Bitquery подсчитали, что примерно $93,2 млн были похищены с 315 кошельков в сетях Tron, Bitcoin, Ethereum, BNB Chain, Polygon и Solana. Tether заморозила около $10 млн связанных USDT. Ledger пока не подтвердила эти цифры. 

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

10 октября служба поддержки Ledger опубликовала обновление по ситуации, заявив: 

«Ledger может подтвердить, что одно из устройств пострадавших пользователей содержало несанкционированный аппаратный имплант». 

Компания сотрудничает с властями и коллективом специалистов по безопасности SEAL 911. Она потребовала от CryptoBilis остановить все продажи аппаратных кошельков. 

«У нас нет признаков компрометации инфраструктуры безопасности, систем или сервисов Ledger», — добавляется в заявлении. 

Устройство шпионского модуля

Исследователи описывают сложную физическую модификацию, не требовавшую программного эксплойта или взлома защищенного элемента. Бывший генеральный директор Mt. Gox Марк Карпелес изучил Ledger Nano X, купленный в Малайзии, и обнаружил небольшую печатную плату. 

«Мой Ledger со шпионским имплантом прибыл из Малайзии и имел безупречную термоусадочную пленку, — написал он. — Даже после вскрытия сначала не видно имплант: он умело спрятан там, где должна быть прокладка экрана».

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Имплант обычно включает микроконтроллер, сотовый или LTE-модуль, eSIM и антенну. Когда устройство генерирует фразу восстановления из 24 слов при первоначальной настройке, модуль может восстановить слова из потока пикселей и передать их по сотовой сети. Поскольку защищенный элемент остается подлинным, проверка Ledger «Genuine Check» все равно проходит. Поэтому у обычного пользователя практически нет шансов распознать проблему.

Проблема канала продаж, а не сбой на заводе

Ledger заявила, что инцидент ограничен устройствами, проданными через CryptoBilis — авторизованного реселлера, работающего в Индонезии, Малайзии и на Филиппинах. В настоящее время нет случаев, указывающих на какие-либо проблемы с устройствами, приобретенными напрямую в собственном магазине Ledger. Компания отмечает, что ни одна глобальная цепочка поставок не застрахована от перехвата после того, как продукция покидает завод. Бывшие сооснователи CryptoBilis заявили, что бизнес сменил владельца ранее в 2026 году, и потому они не несут ответственности за эти хищения.

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Характер ончейн-активности показывает, что несколько кошельков в течение секунд авторизовали одного и того же получателя разрешения. Это доказывает, что эти случаи являются примерами скоординированного доступа к приватным ключам, а не отдельных фишинговых атак. Однако Ledger не связала каждый опустошенный адрес с подтвержденным имплантом, поскольку внутреннее расследование продолжается.

Экспертная проверка и ранние предупреждения

Аналитики аппаратного обеспечения установили, что модуль пассивно отслеживает незашифрованный трафик дисплея, не атакуя защищенный элемент. По данным Карпелеса и Tibane Labs, в более поздних версиях количество видимых проводов было уменьшено. Это позволило сохранить оригинальную батарею, чтобы устройство прошло поверхностную проверку. Эксперты представили новые видеоинструкции, помогающие пользователям проверить свои устройства.

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Директор по информационной безопасности SlowMist заявил, что такой модуль может записывать фразы восстановления. Однако для полного понимания основных причин необходима проверка. Скандал также привел к новым фишинговым попыткам: в результатах поиска появились поддельные сайты и приложения Ledger. Представители Ledger напомнили, что компания никогда не запрашивает фразу пользователя из 24 слов.

Последствия для холодного хранения

Аппаратные кошельки традиционно считаются золотым стандартом самостоятельного хранения, поскольку приватные ключи не покидают устройство. Однако этот скандал демонстрирует новый тип риска, который может возникнуть на уровне дистрибуции. Ledger заявляет, что «работает над дополнительными усиленными решениями для защиты от вмешательства», и советует пользователям покупать устройства только через официальные каналы и визуально проверять кошельки перед настройкой. 

Посмотреть публикацию в X Загрузка...

Твит был удалён автором.

Но мы всё сохранили 🙂.

Судебно-техническая экспертиза покажет полный масштаб потерь, поскольку высока вероятность, что многие случаи все еще не задокументированы. Поэтому мы рекомендуем считать любое устройство из затронутого канала потенциально скомпрометированным. Если средства могут быть под угрозой, создайте новую seed-фразу на доверенном (новом) кошельке.