Firma analityki blockchainowej Chainalysis ujawniła, że jedną z największych ofiar niedawnego opróżnienia zmanipulowanych portfeli sprzętowych Ledger był oszust, który stracił ponad 60 BTC o wartości około 4,8 mln USD.

Ta informacja wywołała wśród obserwatorów pewien uczucie schadenfreude, gdy wyszło na jaw, że środki skradzione w tym incydencie obejmowały przychody z oszustwa prowadzonego przez samą ofiarę.

Chainalysis przedstawiła transakcje stojące za kradzieżą, w której ukradziono około 4,8 mln USD w Bitcoinie, w poście na X w czwartek. Według firmy skradziony Bitcoin pochodził z tzw. task scamu. W tego rodzaju schemacie uczestnicy otrzymują wynagrodzenie za fałszowanie sprzedaży i recenzji prawdziwych produktów. W pewnym momencie na koncie uczestnika pojawia się „ujemne saldo”, a następnie zostaje mu powiedziane, aby dodać własne pieniądze, aby otrzymać wypłatę.

One of the biggest victims of the Ledger theft was a scammer themselves. They lost more than 60BTC, about $4.8M. The funds were from a task scam. In this task scam, people were paid to fake sales and reviews of real items. Then a "negative balance" appeared, and they were told… pic.twitter.com/pGXNJkZJUi

— Chainalysis (@chainalysis) October 15, 2026

W efekcie osoba stojąca za task scamem znalazła się po przegrywającej stronie większej kradzieży. 22 września przeniosła ona przychody na trzy oddzielne adresy Ledger. Niecałe trzy tygodnie później, 9 października, złodzieje opróżnili wszystkie trzy, przesyłając po jednym przelewie z każdego do tego samego portfela docelowego, który został zgłoszony jako przechowujący skradzione środki.

Wykres udostępniony przez Chainalysis pokazuje, że środki z oszustwa przeszły przez portfel konsolidacyjny, zanim trafiły na trzy adresy Ledger, z których każdy został opróżniony z około 1,64 mln USD.

Ledger ujawnił incydent 9 października, tego samego dnia, gdy adresy zostały opróżnione.

Zmanipulowane urządzenia Ledger

Zespół bezpieczeństwa Donjon firmy Ledger ujawnił, że odkrył implant w portfelach sprzedawanych przez południowoazjatyckiego dystrybutora CryptoBilis. Według zespołu bezpieczeństwa implant odczytuje 24-wyrazowązę odzyskiwania z ekranu urządzenia podczas konfiguracji i wysyła ją przez LTE. To uderza w podstawową zasadę portfela sprzętowego, którego zadaniem jest przechowywanie frazy odzyskiwania offline; gdy fraza zostaje przechwycona, sama w sobie wystarcza, aby odtworzyć portfel w innym miejscu i przenieść zabezpieczane przez niego środki, niezależnie od tego, kto je tam wpłacił.

Ledger poinformował, że wszystkie potwierdzone straty dotyczą urządzeń sprzedawanych przez CryptoBilis. Ten wzorzec umieszcza kompromitację w kanale dystrybucji, a nie w bezpośredniej sprzedaży Ledgera, co pokazuje, jak manipulacja może wejść do łańcucha dystrybucji po opuszczeniu urządzeń z fabryki, a zanim trafią do kupujących.

Chainalysis nie podała, gdzie oszust kupił zmanipulowane urządzenia.

Śledczy onchain Specter prześledził ponad 86 mln USD podejrzewanych kradzieży związanych z kampanią zmanipulowanych urządzeń, choć Ledger zaznacza, że nie zweryfikował tej kwoty. We wtorek Ledger poprosił dystrybutorów i odsprzedawców w sześciu krajach Azji Południowo-Wschodniej oraz w Hongkongu o wstrzymanie sprzedaży swoich urządzeń.

Ledger nie potwierdził łącznej liczby poszkodowanych użytkowników ani łącznej wartości strat, a jego śledztwo trwa — co pozostawia pełny zasięg kampanii oraz różnicę między szacunkami stron trzecich a potwierdzonymi stratami jako otwarte pytania na razie.