Założyciel i dyrektor generalny OneKey Yishi Wang ogłosił, że sieć dealerów producenta portfeli sprzętowych „znacząco się zmniejszy” po pełnym przeglądzie wcześniej certyfikowanych dealerów, a ci, którzy mają „niemożliwe do zweryfikowania podmioty operacyjne lub niejasnych ostatecznych beneficjentów”, zostaną pozbawieni autoryzacji i usunięci z oficjalnej strony internetowej. Wang potwierdził również, że OneKey cofnął CryptoBilis autoryzację jako dealer swoich urządzeń.

Ogłoszenie nastąpiło po doniesieniach, że jeden z portfeli Ledger sprzedanych przez południowoazjatyckiego odsprzedawcę CryptoBilis zawierał nieautoryzowany implant sprzętowy, w związku z trwającym śledztwem dotyczącym kradzieży kryptowalut, której straty szacuje się obecnie na od 86 do 93 milionów dolarów. Incydent ten uwypukla warstwę odsprzedawców w branży portfeli sprzętowych, w której urządzenia przechodzą przez pośredników między producentem a użytkownikiem końcowym.

Co powiedział Ledger o włamaniu na portfel CryptoBilis?

Aktualizacja z 10 października opublikowana na stronie wsparcia Ledgera potwierdziła, że do zakończenia śledztwa CryptoBilis nie będzie sprzedawać żadnych produktów producenta portfeli sprzętowych. Oświadczenie to pojawiło się po tym, jak Ledger w publicznym oświadczeniu na X stwierdził, że co najmniej „jedno z urządzeń poszkodowanych użytkowników zawierało nieautoryzowany implant sprzętowy”.

Ledger podkreślił, że jego własne systemy i bezpośrednie kanały sprzedaży pozostały nietknięte, wskazując, że wszystkie narażone urządzenia można wywodzić od CryptoBilis. Rozróżnienie między egzemplarzami pochodzącymi od odsprzedawcy a urządzeniami wysyłanymi bezpośrednio przez producenta stanowi podstawę wytycznych skierowanych do klientów.

Ledger zaleca wszystkim, którzy kupili portfele od południowoazjatyckiego odsprzedawcy, aby inicjalizować urządzeń, których jeszcze nie skonfigurowali. Klientom, którzy już skonfigurowali urządzenia kupione od CryptoBilis, zaleca się przeniesienie środków do portfeli wydanych bezpośrednio przez Ledger, a nie nabytych u odsprzedawców.

Jak dotąd analitycy ds. bezpieczeństwa szacują, że z około 300 portfeli Ledger wypłacono od około 86 do 93 milionów dolarów.

Dlaczego kupujący OneKey i SafePal są zaniepokojeni

Choć jak dotąd kradzieże odnotowano tylko w przypadku portfeli Ledger, obawy o bezpieczeństwo rozprzestrzeniły się na klientów innych producentów portfeli. CryptoBilis przedstawia się jako autoryzowany odsprzedawca portfeli Ledger, Trezor, OneKey, Tangem, SafePal, imKey i innych w Malezji, działając również w Indonezji i na Filipinach.

W poście na X Yishi Wang starał się uspokoić panikę, pisząc: „Zakończyliśmy autoryzację CryptoBilis; nie jest już autoryzowanym dealerem OneKey”.

Wang opisał również trzystopniową odpowiedź OneKey mającą na celu ograniczenie obecnej ekspozycji i zapobieżenie dalszej eskalacji.

Krok pierwszy: OneKey wstrzymał przyjmowanie nowych dealerów ze skutkiem od oświadczenia z 12 października.

Krok drugi: wszyscy istniejący dealerzy, w tym wcześniej certyfikowani, przejdą nowy proces weryfikacji. Dealerzy z „niemożliwymi do zweryfikowania podmiotami operacyjnymi lub niejasnymi ostatecznymi beneficjentami” stracą autoryzację, a OneKey opublikuje pełną listę autoryzowanych dealerów na oficjalnej stronie internetowej.

Krok trzeci: użytkownicy, którzy kupili urządzenia OneKey od CryptoBilis między 1 marca a 12 października 2026 roku, mają prawo do bezpłatnej wymiany. Nawet użytkownicy, którzy już aktywowali lub używali swoich urządzeń, mogą ją otrzymać.

Według Wanga OneKey wybrał datę graniczną 1 marca, ponieważ pierwotny współzałożyciel CryptoBilis publicznie stwierdził, że firma zakończyła przekazanie zarządzania operacyjnego w marcu, po przejęciu na początku tego roku. Gdy pełna lista dealerów będzie dostępna na oficjalnej stronie, posłuży kupującym jako punkt odniesienia do sprawdzenia, czy sprzedawca jest obecnie autoryzowany.

Jedyna wcześniej zgłoszona wada sprzętowa OneKey sięga 2023 roku, kiedy firma bezpieczeństwa Unciphered wyekstrahowała seed urządzenia w ataku laboratoryjnym. OneKey załatał lukę, wypłacił nagrodę i zapewnił, że żaden użytkownik nie ucierpiał.

Kto obecnie posiada CryptoBilis?

Najnowsze rejestry przedsiębiorstw wskazują na zmianę kontroli nad malezyjskim odsprzedawcą przed podejrzewanym atakiem na łańcuch dostaw. Byli współzałożyciele CryptoBilis oświadczyli na LinkedIn, że w marcu przekazali firmę nowym właścicielom, a według doniesień własność przeszła na osobę identyfikowaną jako Jiaming, obywatela Chin.

Nie ma potwierdzonych doniesień łączących nową własność z tym incydentem związanym z bezpieczeństwem.

W 2026 roku dotychczas sześć marek portfeli sprzętowych ujawniło problemy z bezpieczeństwem. Galaxy Research oszacowało straty w przypadku Coldcard na ponad 115 milionów dolarów, a ujawnienie w połowie paźernika dotyczące Ledgera jest drugim incydentem, w którym utracono środki. Cryptopolitan informował również o wycieku danych w BasedApp, który w zeszłym tygodniu ujawnił rekordy KYC klientów.