Tether zamroził 10 milionów dolarów w swoim stablecoinie USDT w związku z kradzieżą, w wyniku której skonfiskowano nawet 93 miliony dolarów w aktywach z portfeli sprzętowych Ledger sprzedawanych przez resellera CryptoBilis. Zamrożenie nastąpiło, gdy śledczy kontynuują śledzenie przepływu skradzionych środków, a Ledger utrzymuje, że incydent ogranicza się do urządzeń sprzedawanych przez jednego zewnętrznego sprzedawcę.

Co Ledger potwierdził do tej pory

Ledger, francuski producent portfeli kryptowalutowych, nie odniósł się jeszcze do skali strat. Firma poinformowała, że każdy zidentyfikowany przypadek dotyczy urządzeń sprzedanych przez CryptoBilis, zewnętrznego sprzedawcę działającego w Malezji, Indonezji i na Filipinach. Podkreślono również, że nie ma oznak naruszenia własnych systemów, usług ani sprzedaży bezpośredniej Ledgera. To rozróżnienie ma znaczenie, ponieważ model bezpieczeństwa portfela sprzętowego opiera się na tym, że urządzenie trafia do właściciela niezmienione, a klucze prywatne nigdy go nie opuszczają.

Sprawa nabrała również wymiaru fizycznej ingerencji, wykraczającego poza podatności związane z oprogramowaniem. 10 października firma poinformowała, że jeden z poszkodowanych użytkowników posiadał urządzenie z zainstalowanym nieautoryzowanym fizycznym implantem — pierwszy dowód fizycznego naruszenia portfeli Ledger w tej sprawie.

Przekaz firmy do kupujących jest jasny: każdy, kto kupił urządzenie od CryptoBilis w ciągu ostatnich 90 dni i nie skonfigurował go jeszcze, powinien pozostawić je nietknięte. Osoby aktualnie korzystające z takiego urządzenia powinny przetransferować swoje monety na inne urządzenie z nową frazą odzyskiwania. Nacisk na świeżą frazę jest sednem tej rady: słowa odzyskiwania to główna kopia zapasowa portfela sprzętowego, a portfel można odtworzyć na dowolnym kompatybilnym urządzeniu wyłącznie na podstawie frazy. Zakupy wyłącznie przez oficjalne kanały i weryfikacja autentyczności urządzenia podczas konfiguracji to standardowe zabezpieczenia przed rodzaju manipulacją przed sprzedażą.

Jak śledczy oszacowali straty

Dane o stratach pochodzą od analityków on-chain, a nie od Ledgera. Według szacunków Bitquery atak doprowadził do wypłacenia 93,2 miliona dolarów z 315 portfeli na sześciu oddzielnych blockchainach, głównie w monetach USDT i TRON. Platforma bezpieczeństwa YFarmX podaje wyższą kwotę, twierdząc, że atak zabrał 94,5 miliona dolarów z 521 portfeli na siedmiu różnych blockchainach. Oba szacunki oparto na publicznych danych łańcucha.

Według analizy Bitquery większość skradzionych środków znajdowała się w sieci TRON — około 70,5 miliona dolarów, a kolejne 16,8 miliona dolarów w Bitcoinie i 3,7 miliona dolarów w Ethereum, plus znacznie mniejsze kwoty w BNB Chain, Polygon i Solana.

Podobno operacja była planowana przez miesiące: adresy zaangażowane w kradzież zostały utworzone 25 września i do początku października wykonały dziesiątki transferów próbnych. Główny transfer nastąpił 9 października, gdy — według Bitquery — atakujący zmienili uprawnienia 30 portfeli TRON, a godzinę później przetransferowali około 203,8 BTC z 111 portfeli Bitcoin w ramach jednego bloku. Taka operacja może zostać przeprowadzona tylko wtedy, gdy atakujący posiada niezbędne klucze.

To istotne, ponieważ emitenci stablecoinów mogą umieszczać na czarnych listach tokeny używane do nielegalnych działań. Bitquery, która zweryfikowała zamrożenie przez Tether, poinformowała, że na dzień 11 października w łańcuchu pozostawało około 81 milionów dolarów śledzalnych tokenów, choć część środków przepłynęła już przez usługi miksujące Tornado Cash i Zcash. Tornado Cash łączy transakcje, aby zatarć ich ślad, a Zcash oferuje chronione transfery zaprojektowane tak, aby ukryć nadawcę, odbiorcę i kwotę — dlatego naturalnym kolejnym pytaniem w tej sprawie jest to, jaka część śledzalnej reszty zostanie zamrożona i czy część zmieszanych środków nadal da się śledzić.

Sprzeciw wobec autoryzowanego sprzedawcy

Przedstawienie sytuacji przez Ledgera jako problemu CryptoBilis nie przeszło bezsprzecznie. Reseller wyświetlał na swojej stronie oficjalną odznakę Ledgera, co według krytyków czyni Ledgera odpowiedzialnym za tę sytuację. „To nie jest incydent CryptoBilis, to incydent Ledgera”, powiedział użytkownik X MyCryptoParadise, który wezwał firmę, aby „wzięła odpowiedzialność za ten bałagan”. Spór dotyka strukturalnej cechy branży portfeli sprzętowych: producenci polegają na resellerach, aby poszerzyć dystrybucję, ale każdy dodany pośrednik jest ogniwem w łańcuchu, którego producent nie kontroluje bezpośrednio.

Istnieje również historia dotycząca własności resellera. Według współzałożyciela Arravinda Prabu CryptoBilis został przejęty w marcu 2026 roku, a cały zespół przekazał wszystkie dostępy do systemów podczas przejęcia, jak cytowano w Learning Crypto. Zgłoszone rejestry firmy pokazują, że jedynym nowym inwestorem był podmiot zarejestrowany w Chinach. Jak dotąd nie ustalono związku między kradzieżami a zmianą własności, a śledztwo nie wykazałoulacji związanych z nowymi inwestorami.

CryptoBilis zawiesił sprzedaż i dostawy wszystkich marek, które oferuje, oraz zamknął swoje stacjonarne sklepy we wszystkich trzech krajach.

Implant, który rozebrał Mark Karpelès

Być może najpełniejszy wgląd w sfałszowany sprzęt daje założyciel Mt. Gox, Mark Karpelès. Karpelès rozebrał Ledger Nano X kupiony w Malezji i, jak donosi Learning Crypto, odkrył dodatkowe komponenty ukryte pod ekranem: modem komórkowy, eSIM i mikroskopijny układ zdolny przechwytywać to, co wyświetlane jest na ekranie.

Podczas konfiguracji portfela słowa odzyskiwania wyświetlane są na tym ekranie. Komponent zdolny przechwytywać dane z wyświetlacza mógłby przesłać te słowa przez sieć komórkową, co pozwoliłoby odtworzyć portfel gdzie indziej i ukraść jego środki. Taki implant jest przykładem ataku na łańcuch dostaw, w którym urządzenie jest modyfikowane gdzieś między produkcją a dostawą, a nie przejmowane zdalnie — a ponieważ części znajdowały się pod ekranem egzemplarza działającego normalnie, zwykły kupujący miałby trudność z ich wykryciem. Nie udało się jeszcze udowodnić, czy wszystkie urządzenia zawierały takie komponenty, a to, czy pojawią się kolejne zaimplantowane egzemplarze, pozostaje otwartym pytaniem w śledztwie.

Należy zaznaczyć, że ta sprawa jest odrębna od innej kradzieży zgłoszonej w marcu, która miała miejsce w kwietniu, gdy phisherzy wykorzystali aplikację Ledger Live w App Store Apple, aby ukraść co najmniej 9,5 miliona dolarów.