Podstawową obietnicą portfela sprzętowego jest to, że klucze prywatne użytkownika nigdy nie mają kontaktu z żadnym systemem poza jego kontrolą. 10 października 2026 r. Ledger potwierdził, że dla części kupujących od południowoazjatyckiego dystrybutora obietnica ta została złamana, zanim jeszcze otwarto pudełko.

Ledger poinformował, że co najmniej jedno z jego urządzeń sprzedanych przez resellera CryptoBilis zawierało nieautoryzowany implant sprzętowy, który dawał atakującym dostęp do fraz odzyskiwania użytkowników. Fraz odzyskiwania to klucz główny, z którego wyprowadzane są klucze prywatne portfela, więc kto go zdobędzie, może odtworzyć portfele i przenieść środki bez potrzeby posiadania fizycznego urządzenia. Szacunki mówią o szkodach od 72 mln do 93,2 mln dolarów, wypłconych z 311 do 315 portfeli w wielu sieciach blockchain.

Co odkrył Ledger

Zainfekowane urządzenia zostały zakupione w CryptoBilis w ciągu ostatnich trzech miesięcy. Zgodnie z ustaleniami badaczy jest to pierwszy potwierdzony przypadek fizycznego implantu w urządzeniu Ledger powiązanego z resellerem.

Większość strat przypadła na jeden składnik. Około 70 mln dolarów skradzionych środków znajdowało się w USDT na blockchainie Tron. Reszta została rozproszona po innych sieciach: straty odnotowano również na Bitcoinie, Ethereum, BNB Chain, Polygon i Solana, co sugeruje, że atakujący po prostu „zamiatali” wszystko, co odblokowały zagrożone frazy seed.

Ledger podkreślił, że jego własne systemy i bezpośrednie kanały sprzedaży nie zostały naruszone. Firma wykorzystała też tę okazję, by przypomnieć resellerom, że zwrócone produkty nigdy nie powinny być ponownie wprowadzane do sprzedaży.

Dotychczasowe reakcje

Wytyczne Ledgera dla kupujących w CryptoBilis są jasne. Kenci nie powinni inicjalizować urządzeń, których jeszcze nie używali, ani przenosić środków bez wcześniejszego wygenerowania nowej frazy seed.

CryptoBilis wstrzymał działalność do zakończenia śledztwa. Reseller mógł również zmienić właściciela — szczegół, który może mieć ogromne znaczenie, gdy śledczy próbują ustalić, kiedy i jak sfałszowane egzemplarze trafiły do jego magazynu.

Tether w międzyczasie zamroził około 10 mln dolarów powiązanych z incydentem. Ponieważ większość strat stanowił USDT, zdolność emitenta do czarnego listowania adresów na poziomie tokena — co uniemożliwia przeniesienie zamrożonego salda — dała poszkodowanym przynajmniej częściową ochronę. Ta ochrona ma jednak granice. Wobec szacowanych strat rzędu dziesiątek milionów zamrożona kwota pokrywa jedynie ułamek, a środki wypłcone z sieci takich jak Bitcoin nie mają centralnego podmiotu, który mógłby nacisnąć pauzę.

Dlaczego łańcuch dostaw jest słabym punktem

CryptoBilis działał jako autoryzowany reseller sprzedający zapieczętowane, oryginalne urządzenia w Indonezji, Malezji i na Filipinach. Każda dodatkowa para rąk w łańcuchu dystrybucji to kolejny punkt, w którym pudełko może zostać otwarte, zmodyfikowane i ponownie zapieczętowane. Przypadek CryptoBilis zamienia to teoretyczne ryzyko w potwierdzone i wyznacza granicę obietnic bezpieczeństwa urządzenia: kryptograficzne zabezpieczenia portfela nie pomogą, jeśli sprzęt został zmodyfikowany, zanim trafił do kupującego.

Co to oznacza dla kupujących i branży

Dla każdego, kto posiada urządzenie kupione przez resellera, praktycznym wnioskiem jest zweryfikowanie jego pochodzenia. W szczególności kupujący od CryptoBilis powinni postępować zgodnie z wytycznymi Ledgera i traktować istniejące frazy seed jako ujawnione.

Zdaniem Ledgera jego kluczowe produkty i usługi pozostały nienaruszone, a dotychczasowe fakty potwierdzają rozróżnienie między jego własnymi kanałami a jednym wyrachowanym dystrybutorem.

Do kluczowych kwestii do obserwowania należą wyniki śledztwa w sprawie CryptoBilis, ewentualne wyjaśnienia dotyczące możliwej zmiany właściciela oraz to, czy potwierdzona liczba portfeli lub szacunki strat ulegną dalszym zmianom. Dodatkowe zamrożenia środków przez Tether lub śledzenie funduszy w innych sieciach również ukształtują, ile ostatecznie odzyskają poszkodowani.