Ledger potwierdził odkrycie nieautoryzowanego implantu sprzętowego w urządzeniu związanym ze sprawą CryptoBilis, podczas gdy śledczy blockchainowi szacują straty kryptowalut na ponad 86 milionów dolarów.

Incydent z 9 października dotyczył portfeli sprzętowych sprzedawanych przez CryptoBilis, dystrybutora działającego w Indonezji, Malezji i na Filipinach. W aktualizacji opublikowanej 11 października Ledger wskazał dystrybutora jako źródło wszystkich potwierdzonych przypadków, w miarę kontynuowania śledztwa.

72 hour update on reseller CryptoBilis incident As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.Enumeration mark removed…

— Ledger (@Ledger) October 11, 2026

Firma oświadczyła, że jej systemy wewnętrzne i bezpośrednie kanały sprzedaży pozostają nietknięte. Dla posiadaczy portfeli sprzętowych sprawa wskazuje na model zagrożeń wykraczający poza kwestie bezpieczeństwa oprogramowania: na integralność samego urządzenia, zanim zostanie ono w ogóle skonfigurowane. Mimo to odkrycie naruszonego sprzętu wprowadziło zagrożenie bezpieczeństwa fizycznego obok zgłaszanych kradzieży, a śledczy wciąż pracują nad ustaleniem pełnego zakresu incydentu.

Liczba dotkniętych urządzeń pozostaje nieujawniona, a producent nie potwierdził łącznej wysokości strat finansowych. CryptoBilis, z kolei, zaprzestał sprzedaży portfeli sprzętowych, podczas gdy śledztwo toczy się przy udziale właściwych organów.

Analiza blockchain szacuje, że z 315 portfeli skradziono 93,2 mln USD

Firma zajmująca się wywiadem blockchainowym Bitquery oszacowała, że około 93,2 miliona dolarów skradziono z 315 portfeli w sieciach Bitcoin, Ethereum, TRON, BNB Chain i Polygon. Jej analiza wykazała również, że część skradzionych środków przemieszczała się przez dodatkowe adresy po początkowych kradzieżach.

To szacunek przewyższa osobne doniesienia, według których podejrzewane straty przekraczają 86 milionów dolarów. Żadna z tych liczb nie stanowi jednak oficjalnej oceny strat od Ledgera, który nie potwierdził łącznej kwoty kradzieży.

Doniesienia o brakujących kryptowalutach pojawiły się 9 października, gdy użytkownicy powiązali znikające środki z portfelami zwiąymi z urządzeniami kupionymi przez CryptoBilis. Śledczy następnie zidentyfikowali nieautoryzowany komponent sprzętowy wewnątrz jednego z dotkniętych urządzeń.

Portfele sprzętowe zazwyczaj izolują klucze prywatne od urządzeń połączonych z internetem, aby ograniczyć narażenie na ataki online. Modyfikacje fizyczne mogą jednak podważyć te zabezpieczenia, jeśli złośliwe komponenty zostaną użyte do naruszenia poufnych informacji. Śledczym nie udało się jeszcze publicznie ustalić, w jaki sposób dotknięte urządzenia zostały skompromitowane ani czy implant sprzętowy spowodował każdą ze zgłoszonych strat. W związku z tym powiązanie między odkrytym komponentem a szerszymi kradzieżami pozostaje przedmiotem śledztwa.

Ledger wydaje zalecenia bezpieczeństwa i przegląda kontrole dystrybutorów

Ledger zalecił klientom, którzy kupili urządzenia przez CryptoBilis, podjęcie środków ostrożności w zależności od statusu inicjalizacji ich urządzeń. Kupujący, którzy nie zainicjalizowali swoich urządzeń, nie powinni ich konfigurować. Klienci, którzy już zainicjalizowali swoje portfele, powinni natomiast przenieść swoje aktywa na nowe urządzenie Ledger, korzystając z nowo wygenerowanej frazy odzyskiwania. Firma skierowała również zainteresowanych użytkowników na oficjalną stronę wsparcia w celu uzyskania pomocy.

Incydent skłonił do przeglądu kontroli autoryzowanych dystrybutorów, zabezpieczeń sprzętowych i procedur dystrybucji. Ledger ostrzegł również dystrybutorów przed ponownym wprowadzaniem do sprzedaży zwróconych urządzeń, przestrzegając, że praktyka ta mogła wprowadzić zmodyfikowane produkty do łańcucha dostaw.

Klienci zostali w związku z tym wezwani do unikania nieautoryzowanych sprzedawców, ponieważ portfele sprzętowe uzyskane takimi kanałami mogą być podróbkami, urządzeniami zmodyfikowanymi lub niezgodnymi z wytycznymi bezpieczeństwa producenta. Firma ostrzegła dodatkowo przed oszustwami podszywającymi się pod pomoc, które wymierzone są w osoby dotknięte incydentem.

Ledger oświadczył, że nigdy nie dzwoni do klientów, nie wysyła wiadomości bezpośrednich ani nie prosi o ich 24-wyrazowe frazy odzyskiwania. Użytkownicy powinni zatem unikać udostępniania informacji dotyczących odzyskiwania nikomu, kto podaje się za pomoc techniczną.

Śledztwo trwa nadal. Otwarte pytania obejmują: ilu klientów ostatecznie ucierpiało, czy Ledger potwierdzi ostateczną kwotę strat, co praca z właściwymi organami ujawni o sposobie skompromitowania urządzeń oraz co przyniesie przegląd kontroli dystrybutorów i procedur dystrybucji.