В субботу, 10 октября, Ledger подтвердила, что в аппаратном кошельке одного из пострадавших клиентов содержался несанкционированный аппаратный имплант. Компания сообщила, что эта находка была сделана в ходе расследования сообщений о кражах криптовалюты, связанных с CryptoBilis — юго-восточноазиатским реселлером её устройств. Это первое подтверждение Ledger физического вмешательства в пострадавшее устройство. Дело касается устройств, распространявшихся через сторонний реселлерский канал.

Компания заявила, что «в устройстве одного из пострадавших пользователей содержался несанкционированный аппаратный имплант». Она также добавила, что у неё «нет признаков того, что инфраструктура безопасности, системы или сервисы Ledger были скомпрометированы». Служба поддержки Ledger сообщила, что связывается с пострадавшими пользователями и сотрудничает с властями. Это подтверждение имеет большое значение, поскольку основная защита аппаратного кошелька — это фраза восстановления, последовательность слов, генерируемая при настройке, которая сама по себе может восстановить доступ к средствам пользователя без устройства.

По оценкам, составленным независимыми аналитиками блокчейна и следователями, предполагаемый ущерб составляет примерно от $72 млн до $93,4 млн.

Это признание последовало за публичным предупреждением основателя Binance Чанпэна «CZ» Чжао, который за день до этого предостерёг покупателей аппаратных кошельков:

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently. Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

Что обнаружили следователи

Аналитик блокчейна Yfarmx оценил предполагаемый ущерб в $93,4 млн на 471 адресе. Bitquery оценила ущерб примерно в $92,9 млн на 311 адресах, а исследователь Specter заявил, что потери превысили $86 млн. Следователь по блокчейну tanuki42 выявил перевод более $72 млн на адреса, которые, как считается, связаны с кражами. Ledger не подтвердила ни одну из этих цифр, и следователи не установили окончательное количество пострадавших кошельков.

Бывший генеральный директор Mt. Gox Марк Карпелес опубликовал результаты исследования модифицированного Ledger Nano X. Он описал скрытую печатную плату и сотовое оборудование, способное перехватывать фразы восстановления. Согласно этим результатам, оборудование отслеживало данные, передаваемые на экран устройства во время настройки, и затем могло передать слова восстановления по сотовой связи. Этот механизм ударял именно в тот момент, который аппаратные кошельки призваны защищать: настройку, когда создаётся секретная фраза и устройство является единственным местом её хранения. Следователи не доказали, что каждый пострадавший кошелёк содержал аналогичные компоненты, и окончательного числа взломанных устройств нет.

Реселлер приостановил продажи и поставки

CryptoBilis, работающая в Индонезии, Малайзии на Филиппинах, прекратила продажу аппаратных кошельков до завершения расследования. Ledger попросила реселлера приостановить продажи и поставки 9 октября. Эта пауза привлекла внимание к реселлерскому уровню рынка аппаратных кошельков, где устройства проходят через стороннюю дистрибуцию, прежде чем попасть к покупателям.

Компания посоветовала клиентам, купившим устройство у реселлера за последние 90 дней, не настраивать его. Тем, кто уже это сделал, рекомендовали перевести активы на новое устройство Ledger с новым seed. Новый seed заменяет фразу восстановления, сгенерированную при первоначальной настройке.

Ledger сообщила, что работает над более надёжными средствами защиты от взлома, и поблагодарила волонтёрский коллектив по безопасности SEAL 911 за помощь следователям.

В X одни пользователи спросили, возместит ли Ledger ущерб пострадавшим. Другие утверждали, что компания должна нести ответственность, поскольку CryptoBilis была авторизованным реселлером. Ledger не объявила о какой-либо компенсации.

Фальшивый сайт Ledger появился в поиске Google

Отдельно исследователь Cyber Scrilla предупредил, что фальшивый сайт Ledger и приложение появились в верхних строках результатов поиска Google, как отмечалось в отчёте Bitcoin News. По имеющимся данным, операторы пытались заставить посетителей ввести свои фразы восстановления из 24 слов.

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

По сообщениям, сайт показал более 1 млн посещений за 30 дней — эта цифра не подтверждена. Количество жертв и сумма похищенного для этого сайта не установлены, и неизвестно, сколько пользователей могли быть затронуты.

В сентябрьском отчёте компании Zscaler описывалась аналогичная схема с использованием мошеннической рекламы Google. Фирма установила, что заявление о 1 млн посещений, по-видимому, относилось к google.com, а не к фишинговой странице, что указывает на возможную ошибку в привязке трафика.

Исследователи не доказали, что фишинговые сайты стали причиной потерь, связанных с CryptoBilis. Это два отдельных инцидента, хотя оба затрагивают пользователей Ledger.

Рекомендации для пользователей Ledger

Ledger сообщает, что пользователи никогда не должны вводить фразу восстановления на веб-сайте, в приложении или в онлайн-форме, и что компания никогда не будет запрашивать у клиентов их фразу восстановления из 24 слов. Она рекомендует загружать программное обеспечение только с официального сайта Ledger и внимательно проверять веб-адреса.

Последнее обновление поступило 10 октября, когда Ledger сообщила, что в одном подтверждённом устройстве обнаружен имплант. Количество других взломанных устройств и лица, ответственные за это, остаются неизвестными. Установят ли следователи окончательное число взломанных устройств, объявит ли Ledger о компенсации и когда CryptoBilis возобновит продажи — вот открытые вопросы, за которыми стоит следить по мере продолжения расследования.

Источник: CoinCentral