Скандал зі шпигунським чипом Ledger: чи захистять апаратні гаманці холодне зберігання криптовалют?

​Ledger підтвердила наявність несанкціонованого апаратного імпланта в пристрої клієнта, пов’язаного з криптовтратами на понад $86 мільйонів. Це виявляє серйозну вразливість у ланцюгу постачання апаратних гаманців. Подальше розслідування щодо південноазійського реселера CryptoBilis покаже ризики фізичного втручання та способи повернути холодним гаманцям статус найбезпечнішого методу зберігання криптовалют.

Підтверджений імплант і масштаб втрат

Підтвердження Ledger щодо несанкціонованого апаратного імпланта виявило чимало прихованих проблем із її гаманцями. Найбільші ризики спостерігаються серед покупців, які придбали пристрої через південноазійського реселера CryptoBilis. Ledger заявляє, що її системи не мають жодних вразливостей. Аналітики блокчейну Bitquery підрахували, що з 315 гаманців у мережах Tron, Bitcoin, Ethereum, BNB Chain, Polygon і Solana було викрадено приблизно $93,2 мільйона. Tether заморозила близько $10 мільйонів пов’язаних USDT. Ledger ще не підтвердила ці цифри. 

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

10 жовтня служба підтримки Ledger опублікувала оновлення щодо ситуації, у якому зазначила: 

«Ledger може підтвердити, що один із пристроїв постраждалих користувачів містив несанкціонований апаратний імплант». 

Компанія співпрацює з органами влади та колективом безпеки SEAL 911. Вона попросила CryptoBilis припинити всі продажі апаратних гаманців. 

«У нас немає жодних ознак компрометації інфраструктури безпеки, систем або сервісів Ledger», — додано в заяві. 

Будова шпигунського модуля

Дослідники описують складну фізичну модифікацію, яка не потребувала програмного експлойту чи злому захищеного елемента. Колишній генеральний директор Mt. Gox Марк Карпелес дослідив Ledger Nano X, придбаний у Малайзії, і виявив невелику друковану плату. 

«Мій Ledger зі шпигунським імплантом надійшов із Малайзії та мав бездоганну термоусадкову плівку, — написав він. — Навіть після відкриття спочатку не видно імпланта, який майстерно сховано там, де мала бути прокладка екрана».

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Імплант зазвичай містить мікроконтролер, модуль стільникового зв’язку або LTE, eSIM та антену. Коли пристрій генерує 24-слівну фразу відновлення під час початкового налаштування, модуль може відтворити слова з потоку пікселів і передати їх через стільникову мережу. Оскільки захищений елемент залишається справжнім, «Genuine Check» від Ledger усе одно проходить. Тож звичайний користувач майже не має шансів розпізнати проблему.

Проблема каналу продажу, а не збій на виробництві

Ledger заявила, що інцидент обмежується пристроями, проданими через CryptoBilis — авторизованого реселера, який працює в Індонезії, Малайзії та на Філіппінах. Наразі немає випадків, що свідчать про будь-які проблеми з пристроями, придбаними безпосередньо у власному магазині Ledger. Компанія зазначає, що жоден глобальний ланцюг постачання не застрахований від перехоплення після того, як продукція залишає завод. Колишні співзасновники CryptoBilis заявили, що бізнес змінив власника раніше у 2026 році, і тому вони не несуть відповідальності за ці викрадення.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Характер ончейн-активності свідчить, що кілька гаманців протягом секунд надали дозвіл одному й тому самому витрачальнику. Це доводить, що ці випадки є прикладами скоординованого доступу до приватних ключів, а не окремих фішингових спроб. Водночас Ledger не пов’язала кожну спустошену адресу з підтвердженим імплантом, оскільки внутрішнє розслідування триває.

Експертна перевірка та попередні застереження

Апаратні аналітики встановили, що модуль пасивно відстежує незашифрований трафік дисплея, не атакуючи захищений елемент. За даними Карпелеса та Tibane Labs, пізніші версії зменшили кількість видимого дротування. Це дало змогу зберегти оригінальний акумулятор, щоб пройти поверхневу перевірку. Експерти представили нові відеоінструкції, за допомогою яких користувачі можуть перевірити свої пристрої.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Директор з інформаційної безпеки SlowMist заявив, що такий модуль може записувати фрази відновлення. Водночас для повного розуміння ключових першопричин потрібне розслідування. Скандал також призвів до нових фішингових спроб: у результатах пошуку з’явилися фальшиві сайти та застосунки Ledger. Представники Ledger нагадали, що компанія ніколи не запитуватиме 24-слівну фразу користувача.

Наслідки для холодного зберігання

Апаратні гаманці традиційно вважаються золотим стандартом самостійного зберігання, оскільки приватні ключі не залишають пристрій. Однак цей скандал демонструє новий тип ризику, який може виникати на рівні дистрибуції. Ledger заявляє, що «працює над подальшими, посиленими рішеннями для захисту від втручання», і радить користувачам купувати лише через офіційні канали та візуально оглядати гаманці перед налаштуванням. 

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Судово-технічна експертиза покаже повний масштаб втрат, оскільки існує висока ймовірність, що багато випадків досі не задокументовано. Тож ми рекомендуємо вважати будь-який пристрій із ураженого каналу потенційно скомпрометованим. Якщо кошти можуть бути під загрозою, згенеруйте нову seed-фразу на надійному (новому) гаманці.