Ledger впервые публично объяснила, как у владельцев её кошельков, купленных у реселлера CryptoBilis, похищали средства. Внутрь корпуса встроили скрытый модуль, который считывал с экрана seed-фразу и отправлял её злоумышленникам по мобильной сети.

По данным CoinDesk, компания рассказала об этом во вторник, 13 октября, в обновлении расследования в соцсети X. CryptoBilis работает в Юго-Восточной Азии и продавала устройства Ledger как сторонний посредник. Хищения, которые связывают с этим продавцом, произошли 9 октября.

Как работал шпионский имплант

По версии Ledger, дополнительный чип был спрятан внутри корпуса. Когда пользователь настраивал новое устройство, на экране появлялась резервная фраза из 24 слов. Микроконтроллер импланта распознавал эти слова и передавал их через eSIM по сети LTE, то есть по обычному мобильному интернету.

Seed-фраза — главный ключ к кошельку. Тот, кто её знает, может восстановить кошелёк на другом устройстве и вывести средства. Физический Ledger для этого не нужен, а в самих транзакциях ничего менять не приходится.

Что компания подтвердила, а что нет

Ledger называет случившееся атакой на цепочку поставок, то есть физическим вмешательством в устройство до того, как оно попало к покупателю. Компания утверждает, что имплант не затронул:

  • защищённый чип Secure Element, где хранятся приватные ключи;
  • операционную систему устройства;
  • подпись и содержимое транзакций;
  • программное обеспечение и внутренние системы Ledger.

Ledger проверила один затронутый кошелёк и подтвердила в нём несанкционированный модуль. По её данным, все подтверждённые потери 9 октября связаны с устройствами, проданными через CryptoBilis. Случаев кражи с устройств, купленных в других местах, компания не подтверждала, но изучает сообщения о подозрительных имплантах в других устройствах и регионах.

Масштаб потерь

Общее число пострадавших и сумму ущерба Ledger пока не называет. Ончейн-аналитики оценивают потери в сумму до $93,2 млн с более чем 300 кошельков. Эти цифры остаются оценкой сторонних исследователей, а не официальными данными. Tether заморозила на связанных с кражей адресах $10 млн в стейблкоине USDT.

Рекомендации пострадавшим и покупателям

По словам Ledger, CryptoBilis прекратила продажи её устройств. Тем, кто купил кошелёк у этого реселлера, компания советует не инициализировать его. Если устройство уже использовалось, нужно перевести активы на новое устройство с заново созданной seed-фразой. Старую фразу после этого следует считать скомпрометированной.

Что это значит для российских инвесторов

Многие россияне покупают аппаратные кошельки не напрямую у производителя, а через маркетплейсы, посредников и перепродавцов. Для них этот случай особенно показателен. Если устройство куплено не у официального продавца или упаковка выглядит вскрытой, его нельзя инициализировать. Не стоит доверять и устройствам с уже записанной seed-фразой. Если вы пользуетесь кошельком от стороннего продавца, создайте новый кошелёк на проверенном устройстве и переведите на него активы. Для докупки BTC или USDT можно использовать Bybit, MEXC и проверенные обменники. Держите крупные суммы на устройстве, происхождение которого вам известно. Помните и о риске заморозки: USDT, связанный с украденными адресами, могут заблокировать, а это важно при P2P-сделках. Перед получением крупных сумм проверяйте адрес отправителя и историю платежа.