Ledger poinformował, że jego zespół badawczy ds. bezpieczeństwa Donjon ujawnił nieautoryzowany implant sprzętowy ukryty w portfelach sprzętowych sprzedawanych przez CryptoBilis, dystrybutora działającego w Azji Południowo-Wschodniej. Ukryty komponent odczytuje z ekranu 24-wyrazową frazę recovery urządzenia podczas konfiguracji portfela i przesyła te słowa przez połączenie komórkowe za pomocą zaopatrzonej karty eSIM.

Paryski producent portfeli sprzętowych ogłosił odkrycie we wtorek w poście na X. Ledger Donjon, wewnętrzny zespół badawczy ds. bezpieczeństwa firmy, potwierdził implant w sobotę 10 października w urządzeniu jednego poszkodowanego użytkownika. Wszystkie potwierdzone straty z tego incydentu, który Ledger po raz pierwszy ujawnił w piątek, dotyczą urządzeń sprzedanych przez CryptoBilis, a firma oświadczyła, że nie zweryfikowała wypływu związanego z urządzeniem kupionym gdziekolwiek indziej.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this October 10th for one affected user's signer.…

— (@Ledger) October 13, 2026

Portfele sprzętowe to podstawa self-custody, zaprojektowana tak, aby klucze prywatne użytkownika pozostawały offline. Urządzenie Ledger, które firma nazywa signerem, wyświetla na ekranie 24-wyrazową frazę recovery podczas wstępnej konfiguracji. Każdy, kto zdobędzie tę frazę, może odtworzyć portfel na innym urządzeniu i przejąć pełną kontrolę nad jego środkami. Ekran konfiguracji jest zatem jedynym momentem, w którym fraza jest widoczna poza urządzeniem — dlatego implant odczytujący wyświetlacz może obejść zabezpieczenia portfela bez ich modyfikowania.

Według analizy Ledger Donjon implant znajduje się wewnątrz obudowy urządzenia i odczytuje to, co wyświetlane jest na ekranie. Gdy wykryje ekrany frazy recovery, jego mikrokontroler dekoduje słowa i przesyła je przez LTE za pomocą zaopatrzonej karty eSIM.

Ledger oświadczył, że implant jest osobnym komponentem, dodając, że nie modyfikuje on Secure Element urządzenia ani systemu operacyjnego Ledger, ani nie zmienia transakcji czy podpisów. Zgodnie z informacjami od Ledgera CryptoBilis potwierdził, że wstrzymał sprzedaż urządzeń Ledger na czas trwania dochodzenia. Ta sprawa zwraca też uwagę na warstwę zewnętrznych dystrybutorów w łańcuchu dostaw sprzętu, gdzie urządzenia trafiają do kupujących poza bezpośrednią kontrolą producenta.

Firma nie potwierdziła łącznej liczby poszkodowanych użytkowników ani wartości strat i oświadczyła, że krążące w internecie liczby pochodzą od stron trzecich, których w pełni nie zweryfikowała. Śledczy onchain Specter prześledził ponad 86 mln USD podejrzewanych kradzieży w sieciach Ethereum, Tron i Bitcoin, jak reportował Decrypt w piątek.

Ledger bada zgłoszenia także poza CryptoBilis

Ledger oświadczył, że bada również zgłoszenia dotyczące implantów w innych signerach i lokalizacjach. Użytkownik X twierdził, że znalazł dwa naruszone urządzenia Ledger kupione w sklepach detalicznych w Europie — twierdzenie to nie zostało niezależnie zweryfikowane.

Firma poinstruowała kupujących urządzenia CryptoBilis, którzy jeszcze ich nie skonfigurowali, aby tego nie robić, i aby skontaktow się z Ledger Support. Ci, którzy już skonfigurowali swoje urządzenia, powinni niezwłocznie przenieść swoje aktywa na nowe urządzenie z nową frazą recovery i nie powinni wprowadzać ani odtwarzać żadnej frazy recovery na urządzeniu kupionym od CryptoBilis.

Użytkownicy, którzy stracili środki lub posiadają naruszone urządzenie, powinni również zgłosić sprawę lokalnym organom ścigania, oświadczył Ledger, i nie powinni odsyłać urządzenia nikomu ani go otwierać, zanim nie skontaktują się z Ledger Support lub policją.

Kupujący, którzy nie nabyli urządzenia od CryptoBilis, mogą skontrolować jego wnętrze korzystając z poradnika Ledger, choć firma ostrzegła, że otwarcie signera może go uszkodzić i zaapelowała, aby użytkownicy najpierw wykonali kopię zapasową frazy recovery.

Ledger przypomniał, że nigdy nie dzwoni do użytkowników, nie wysyła im wiadomości bezpośrednio ani nie prosi o frazę recovery. Donjon przeanalizuje otrzymane urządzenia i będzie dzielić się kolejnymi informacjami w miarę postępu dochodzenia, oświadczyła firma.