Ledger prowadzi dochodzenie w sprawie dużej fali opróżnień portfeli, która dotyka klientów z Azji Południowo-Wschodniej kupujących portfele sprzętowe u dystrybutora CryptoBilis; najnowsze szacunki onchain wskazują na podejrzane straty w wysokości 92,9 mln dolarów.

Bezpieczeństwo portfela sprzętowego opiera się na jednej przesłance: seed odzyskiwania — fraza dająca dostęp do środków onchain — jest generowana na samym urządzeniu i nigdy go nie opuszcza. Dlatego to kanał sprzedaży, przez który urządzenie trafia do kupującego, znajduje się w centrum tej sprawy.

Firma zażądała od CryptoBilis wstrzymania całej sprzedaży i wysyłek urządzeń Ledger 9 października, podczas gdy trwa dochodzenie. Każdy, kto kupił urządzenie u tego dystrybutora w ciągu ostatnich 90 dni i jeszcze go nie zainicjował, nie powinien rozpoczynać konfiguracji. Klientom już korzystającym z takich urządzeń zalecono rozważenie przeniesienia środków do nowego podpisującego Ledger wygenerowanego z całkowicie nowym seedem odzyskiwania.

W aktualizacjach opublikowanych przez konto wsparcia na X Ledger oświadczył, że dotychczas zidentyfikowane zgłoszenia dotyczą wyłącznie urządzeń rozpowszechnianych przez CryptoBilis i że nie ma wskazań, iż jego infrastruktura bezpieczeństwa, systemy lub usługi zostały naruszone. Firma nie potwierdziła skradzionej kwoty, liczby poszkodowanych ani mechanizmu wykorzystanego do uzyskania dostępu do portfeli.

CryptoBilis zmieniło właściciela na miesiące przed opróżnieniami

CryptoBilis zostało przejęte na początku 2026 roku — potwierdził to były współzałożyc Arravind Prabu po rozpoczęciu dochodzenia w sprawie opróżnień portfeli. Prabu powiedział, że po przejęciu byli właściciele całkowicie wycofali się z działalności operacyjnej, dostępu do systemów i zarządzania i już nie prowadzą CryptoBilis. Transakcja została sfinalizowana w marcu, natomiast malezyjskie rejestry przedsiębiorstw opublikowane w trakcie dochodzenia pokazują, że osoba identyfikowana jako Jiaming, z zarejestrowanym adresem w Heilongjiang w Chinach, posiada 100% akcji CryptoBilis według stanu na 3 sierpnia.

Badacz bezpieczeństwa Quit powiedział, że przejęcie objęło umowę o poufności, która uniemożliwiała poprzednim właścicielom ujawnienie sprzedaży publicznie, a ograniczenie miało wygasnąć 19 października — dziesięć dni po wniosku Ledgera o wstrzymanie sprzedaży. Podniósł możliwość, że zakup mógł zostać przeprowadzony przez wyrafinowanego aktora zagrożenia dążącego do uzyskania dostępu do ugruntowanego autoryzowanego dystrybutora, zamiast wynikać z działań nieuczciwego pracownika. Teoria odzwierciedla zaufaną pozycję, jaką dystrybutorzy zajmują między producentem a klientem.

Pozostaje to hipotezą śledczą. Żadne publiczne dowody nie potwierdziły, że nowy właściciel nabył CryptoBilis w celu naruszenia urządzeń Ledger, uczestniczył w opróżnieniach portfeli ani że miał jakikolwiek związek z adresami kontrolowanymi przez atakujących. Niezależnie od tego chronologia sytuuje zmianę właściciela na miesiące przed sprzedażą dotkniętych urządzeń i przed rozpoczęciem skoordynowanych opróżnień.

Szacunki onchain sięgają 92,9 mln dolarów

Podejrzane straty przekroczyły początkowe szacunki od 72 mln do 86 mln dolarów, gdy śledczy zidentyfikowali kolejne dotknięte adresy i sieci.

Szczegółowa rekonstrukcja opróżnienia wykonana przez Bitquery wykazała 92,9 mln dolarów pobranych z 311 portfeli w sieciach Tron, Bitcoin, Ethereum, BNB Chain i Polygon. Największe straty skoncentrowały się na Tronie, skąd usunięto około 70,5 mln dolarów. Portfele Bitcoin straciły około 203,8 BTC o wartości 16,8 mln dolarów, a Ethereum, BNB Chain i Polygon stanowiły pozostałe środki.

Chronologia transakcji wskazuje na scentralizowaną kontrolę nad dotkniętymi kluczami prywatnymi. Dwadzieścia pięć portfeli na Tronie autoryzowało tego samego wydawcę w ciągu trzech sekund, a 111 portfeli Bitcoin zostało opróżnionych w ramach jednego bloku, według raportów udostępnionych na X. Bitquery prześledził także 41 niewielkich transakcji testowych na Tronie i Ethereum w ciągu dwóch tygodni poprzedzających główne opróżnienie. Taki wzorzec nie wyjaśnia, jaki sposób uzyskano klucze prywatne, ale różni się od sytuacji, w której pojedyncze ofiary niezależnie zatwierdzały złośliwe transakcje przez dłuższy czas.

Tether następnie zamroził około 10 mln dolarów w USDT na 20 adresach powiązanych z tą działalnością — krok dostępny dla emitenta, ponieważ salda stablecoinów można zamrażać na wskazanych adresach. Kolejne 15,1 mln USDD pozostało w portfelach kontrolowanych przez atakujących, a 1254 ETH przesłano później, 9 października, przez Tornado Cash — protokół mieszający zbudowany w celu zatarcia powiązania między adresami wpłacającymi i wypłacającymi. Według najnowszej analizy około 79 mln dolarów pozostawało możliwych do prześledzenia.

Fizyczny implant rodzi pytania o łańcuch dostaw

Badana jest również możliwa sprzętowa droga ataku. Były dyrektor generalny Mt. Gox Mark Karpelès otworzył urządzenie Ledger pozyskane w Malezji i poinformował o odkryciu ukrytego implantu elektronicznego umieszczonego tam, gdzie normalnie znajduje się wyściółka ekranu.

Karpelès powiedział, że zmodyfikowane urządzenie zachowało przekonujące opakowanie i że implant trudno było dostrzec nawet po otwarciu obudowy. Jego analiza wskazywała, że dodatkowy sprzęt mógł monitorować informacje wyświetlane podczas konfiguracji i przesyłać dane frazy odzyskiwania na zewnątrz. Modyfikacja tego rodzaju celowałaby w samą konfigurację — moment, w którym fraza odzyskiwania jest po raz pierwszy generowana i wyświetlana.

Żadne publiczne dowody nie potwierdziły jeszcze, że urządzenie zbadane przez Karpelèsa pochodziło od CryptoBilis ani że ta sama modyfikacja spowodowała opróżnienia o wartości 92,9 mln dolarów. Ledger również nie potwierdził ataku na łańcuch dostaw.

Technika przypomina ryzyka ujawnione na początku tego roku, gdy odkryto podróbki Ledgera zawierające ukryty sprzęt zdolny do pozyskiwania fraz odzyskiwania i kodów PIN. Obecna sprawa odróżnia się także od opróżnień portfeli Coldcard z początku 2026 roku, gdzie śledczy wywiódł straty ze słabego generowania seeda w dotkniętym oprogramowaniu układowym, a nie z modyfikacji sprzętowej na poziomie dystrybutora.

Ostrzeżenie Ledgera dotyczy obecnie konkretnie klientów, którzy kupili urządzenia od CryptoBilis w ciągu ostatnich 90 dni. Użytkownicy, którzy już zainicjowali takie urządzenie, potrzebują nowego podpisującego i nowo wygenerowanego seeda, a nie jedynie przeniesienia istniejącej frazy odzyskiwania na inny portfel sprzętowy — fraza ujawniona podczas konfiguracji pozostaje ważna na każdym urządzeniu, na które zostanie później wczytana. Przy niepotwierdzonym jeszcze mechanizmie zarówno ostateczna suma strat, jak i droga ataku mogą ulec zmianie w miarę postępu dochodzenia.

Źródło: Crypto Adventure