Singapurska policja poinformowała w komunikacie opublikowanym 28 października, że użytkownicy kryptowalut w Singapurze stracili około 3,5 mln S$ po zakupie podmienionych portfeli sprzętowych Ledger w lokalnych sklepach detalicznych. Policja podała, że od 10 września zgłoszono dwa przypadki dotyczące urządzeń produced przez firmę z siedzibą w Paryżu, a dotknięte egzemplarze zawierały ukryty sprzęt zdolny do przechwytywania fraz odzyskiwania lub kluczy prywatnych użytkowników.

Portfel sprzętowy to fizyczne urządzenie przechowujące klucze prywatne offline, które jest ogólnie uważane za bezpieczniejsze niż przechowywanie kluczy online, gdzie mogą być podatne na ataki. Sprawy w Singapurze ujawniają jednak inny wektor ataku: ponieważ urządzenia zostały zmodyfikowane przed sprzedażą, kompromitacja nie zależała od przechowywania kluczy w internecie — a istotne było, gdzie dane urządzenie zostało kupione.

Ukryty sprzęt znaleziony wewnątrz urządzeń

Wstępne śledztwo wykazało, że niektóre portfele Ledger sprzedawane w wybranych singapurskich sklepach detalicznych zawierały złośliwy sprzęt. Policja podała, że te ukryte komponenty mogły przechwytywać frazy odzyskiwania lub klucze prywatne użytkowników. Dysponując tymi informacjami, atakujący mogli uzyskać dostęp do portfeli kryptowalutowych poszkodowanych i przesyłać środki bez wiedzy lub zgody właścicieli.

Policja poinformowała, że pozostaje w kontakcie z Ledger, który analizuje dotknięte przypadki. Według The Straits Times jedno ze skompromitowanych urządzeń sprzedano w sklepie Metapod na lotnisku Changi, a drugie — według doniesień — kupiono w sklepie Challenger w VivoCity.

Przypadki te nastąpiły po wcześniejszym dochodzeniu Ledger w sprawie urządzeń sprzedawanych przez CryptoBilis, dystrybutora z Azji Południowo-Wschodniej. 10 października Ledger potwierdził obecność ukrytego implantu sprzętowego w jednym z portfeli. Zespół bezpieczeństwa Donjon ustalił, że implant mógł przechwycić 24-wyrazową frazę odzyskiwania wyświetlaną podczas konfiguracji urządzenia i przesłać te dane atakującemu przez połączenie komórkowe LTE.

Ledger oświadczył, że złośliwy komponent działał niezależnie od Secure Element, czyli układu chroniącego klucze prywatne, oraz że własne systemy firmy i bezpośrednie kanały sprzedaży nie były zaangażowane. Zmanipulowane urządzenia opisane przez policję i Ledger zostały kupione wyłącznie przez kanały detaliczne lub dystrybutorów zewnętrznych.

Singapore Police Say Ledger crypto Wallets Sold at Local Retailers Contained Malicious Hardware Implants Singapore police said on October 28 that some Ledger cryptocurrency hardware wallets purchased from local retailers contained malicious hardware implants capable of stealing… pic.twitter.com/RckYdTzFMq

— Wu Blockchain (@WuBlockchain) October 29, 2026

Ledger wstrzymuje sprzedaż na siedmiu rynkach

13 października Ledger zalecił dystrybutorom i pośrednikom wstrzymanie sprzedaży i wysyłki swoich portfeli w Singapurze, Malezji, Indonezji, Tajlandii, na Filipinach, w Wietnamie i Hongkongu. Firma doradziła klientom, którzy zakupili urządzenia od CryptoBilis w ciągu poprzednich 90 dni, aby nie konfigurowali nieużywanych portfeli, a tym, którzy już je aktywowali, zaleciła przeniesienie środków do nowego portfela z nową frazą odzyskiwania.

Analitycy blockchainowi szacują łączne straty związane ze skompromitowanymi portfelami na ponad 86 mln USD — kwoty, której Ledger nie potwierdził. Firma podała, że nie może zweryfikować tej sumy ani liczby osób poszkodowanych. Kwota 3,5 mln S$ podana przez singapurską policję obejmuje wyłącznie przypadki lokalne.

Problem pojawił się również w Europie. 13 października niemiecki sprzedawca MediaMarktSaturn wstrzymał sprzedaż urządzeń Ledger po tym, jak klient znalazł nieautoryzowany komponent wewnątrz urządzenia. Ledger oświadczył, że w tym przypadku nie utracono żadnych środków.

W odrębnym incydencie konkurencyjny producent portfeli Keystone ujawnił 26 października naruszenie bezpieczeństwa, które ujawniło dane 25 964 klientów. Keystone zapewnił, że frazy odzyskiwania i klucze prywatne pozostały bezpieczne, jednak firma zniszczyła 18 835 portfeli i wstrzymała wysyłki.

Singapurska policja poinformowała, że śledztwo trwa. Zaapelowała do użytkowników kryptowalut o stosowanie się do oficjalnych zaleceń producentów portfeli i o nigdy nieudostępnianie kluczy prywatnych, fraz odzyskiwania ani seed phrase. Każdy, kto posiada informacje w sprawie, może zadzwonić na policyjną infolinię pod numer 1800-255-0000 lub przesłać szczegóły online na stronie www.police.gov.sg/i-witness. Przy trwającym śledztwie i wewnętrznym dochodzeniu Ledger oficjalne komunikaty firmy i singapurskich władz pozostają źródłem aktualnych wytycznych w regionie.