Ledger potwierdził w sobotę 10 października, że portfel sprzętowy należący do jednego z dotkniętych klientów zawierał nieautoryzowany implant sprzętowy. Firma poinformowała, że odkrycie nastąpiło podczas badania doniesień o kradzieży kryptowalut powiązanych z CryptoBilis, południowoazjatyckim odsprzedawcą jej urządzeń. Był to pierwszy raz, gdy Ledger potwierdził fizyczną ingerencję w dotknięte urządzenie. Sprawa dotyczy urządzeń dystrybuowanych za pośrednictwem zewnętrznego kanału odsprzedaży.

Firma stwierdziła, że „jedno z urządzeń dotkniętych użytkowników zawierało nieautoryzowany implant sprzętowy”. Dodała również, że „nie ma wskazówek sugerujących, że infrastruktura bezpieczeństwa, systemy lub usługi Ledger zostały naruszone”. Konto wsparcia Ledgera poinformowało, że kontaktuje się z dotkniętymi użytkownikami i współpracuje z organami ścigania. To potwierdzenie miało istotne znaczenie, ponieważ podstawową ochroną portfela sprzętowego jest fraza odzyskiwania — sekwencja słów generowana podczas konfiguracji, która sama w sobie może przywrócić dostęp do środków użytkownika bez urządzenia.

Szacunki sporządzone przez niezależnych analityków on-chain i śledczych wskazują na podejrzane straty między około 72 milionami a 93,4 miliona dolarów.

Ujawnienie nastąpiło po publicznym ostrzeżeniu założyciela Binance, Changpenga „CZ” Zhao, który dzień wcześniej przestrzegł nabywców portfeli sprzętowych:

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently. Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

Co odkryli śledczy

Analityk on-chain Yfarmx oszacował podejrzane straty na 93,4 miliona dolarów w 471 adresach. Bitquery oszacował około 92,9 miliona dolarów w 311 adresach, a badacz Specter stwierdził, że straty przekroczyły 86 milionów dolarów. Śledczy-chain tanuki42 zidentyfikował ponad 72 miliony dolarów przesłane na adresy, które — jak się uważa — są powiązane z kradzieżami. Ledger nie potwierdził żadnej z tych liczb, a śledczy nie ustalili ostatecznej liczby dotkniętych portfeli.

Były CEO Mt. Gox Mark Karpelès opublikował ustalenia dotyczące zmodyfikowanego Ledger Nano X. Opisał ukrytą płytkę drukowaną oraz wyposażenie komórkowe zdolne do przechwytywania fraz odzyskiwania. Zgodnie z tymi ustaleniami wyposażenie monitorowało dane wysyłane na ekran urządzenia podczas konfiguracji, a następnie mogło przesyłać słowa odzyskiwania przez łącze komórkowe. Mechanizm ten uderzył w moment, który portfele sprzętowe mają chronić: konfigurację, gdy tworzona jest tajna fraza, a urządzenie jest jedynym miejscem jej istnienia. Śledczy nie wykazali, że każdy dotknięty portfel zawierał podobne elementy, a ostateczna liczba naruszonych urządzeń nie istnieje.

Odsprzedawca wstrzymuje sprzedaż i wysyłki

CryptoBilis, działający w Indonezji, Malezji i na Filipinach, wstrzymał sprzedaż portfeli sprzętowych do zakończenia śledztwa. Ledger poprosił odsprzedawcę o wstrzymanie sprzedaży i wysyłek 9 października. Wstrzymanie zwróciło uwagę na warstwę odsprzedawców na rynku portfeli sprzętowych, gdzie urządzenia przechodzą przez zewnętrzną dystrybucję, zanim trafią do nabywców.

Firma poinformowała klientów, którzy kupili urządzenie od odsprzedawcy w ciągu ostatnich 90 dni, aby go nie konfigurowali. Tym, którzy to już zrobili, zalecono przeniesienie aktywów do nowego podpisującego Ledger z nowym seedem. Nowy seed zastępuje frazę odzyskiwania wygenerowaną podczas pierwotnej konfiguracji.

Ledger oświadczył, że pracuje nad skuteczniejszymi narzędziami przeciwdziałania ingerencji i podziękował wolontariackiemu kolektywowi bezpieczeństwa SEAL 911 za pomoc śledczym.

W sieci X niektórzy użytkownicy pytali, czy Ledger zwróci pieniądze poszkodowanym. Inni argumentowali, że firma powinna wziąć odpowiedzialność, ponieważ CryptoBilis był autoryzowanym odsprzedawcą. Ledger nie ogłosił żadnego odszkodowania.

Fałszywa strona Ledgera pojawia się w wyszukiwarce Google

Oddzielnie badacz Cyber Scrilla ostrzegł, że fałszywa strona i aplikacja Ledger pojawiły się w czołówce wyników wyszukiwania Google, co zostało podkreślone w relacji Bitcoin News. Operatorzy mieli — według doniesień — próbować nakłonić odwiedzających do wpisania swoich 24-słownych fraz odzyskiwania.

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

Według doniesień strona wykazała ponad 1 milion wizyt w ciągu 30 dni — liczby tej nie potwierdzono. Nie ustalono liczby poszkodowanych ani kwoty skradzionej w ramach tej strony, a to, ilu użytkowników mogło być narażonych, pozostaje nieznane.

Wrześniowy raport firmy Zscaler opisywał podobny schemat wykorzystujący fałszywe reklamy Google. Firma ustaliła, że twierdzenie o 1 milionie wizyt najwyraźniej odnosiło się do google.com, a nie do strony phishingowej, co sugeruje, że liczba odwiedzin mogła zostać błnie przypisana.

Badacze nie wykazali, że strony phishingowe spowodowały straty związane z CryptoBilis. To dwa odrębne problemy, choć oba dotyczą użytkowników Ledgera.

Wskazówki dla użytkowników Ledgera

Ledger informuje, że użytkownicy nigdy nie powinni wpisywać frazy odzyskiwania na stronie internetowej, w aplikacji ani w formularzu online, i że nigdy nie poprosi klientów o ich 24-słowną frazę odzyskiwania. Firma zaleca pobieranie oprogramowania wyłącznie z oficjalnej strony Ledgera oraz dokładne sprawdzanie adresów internetowych.

Najnowsza aktualizacja nastąpiła 10 października, gdy Ledger oświadczył, że jedno potwierdzone urządzenie zawierało implant. Liczba innych naruszonych urządzeń oraz sprawcy pozostają nieznani. To, czy śledczy ustalą ostateczną liczbę naruszonych urządzeń, czy Ledger ogłosi odszkodowanie i kiedy CryptoBilis wznowi sprzedaż, to otwarte kwestie do obserwowania w miarę postępu śledztwa.

Źródło: CoinCentral