Ledger сообщила, что каждый подтверждённый случай из истории с опустошением кошельков на прошлой неделе связан с аппаратными кошельками, проданными через юго-восточноазиатского реселлера CryptoBilis, и что собственные системы компании и каналы прямых продаж остались незатронутыми, согласно обновлению по итогам 72 часов, опубликованному в воскресенье.

"Объём затронутых устройств ограничен", — заявила производитель аппаратных кошельков из Парижа, добавив, что компания сотрудничает с соответствующими властями и связывается с затронутыми пользователями. По данным Ledger, CryptoBilis подтвердила полное прекращение продаж аппаратных кошельков.

72 hour update on reseller CryptoBilis incident 🔽 As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.Emphasis added

— Ledger (@Ledger) October 11, 2026

Ledger начала расследование в пятницу после того, как пользователи из Юго-Восточной Азии, купившие устройства у CryptoBilis, сообщили о потере средств. Ончейн-аналитик Specter отследил более $86 млн предполагаемых краж в сетях Ethereum, Tron и Bitcoin. Ledger не подтвердила эту сумму и не назвала причину потерь.

Аппаратные кошельки, такие как устройства Ledger, предназначены для хранения приватных ключей пользователей в офлайн-режиме, однако исследователи безопасности давно предупреждают, что устройства, полученные вне официальных каналов, могут быть подделаны до того, как попадут к покупателям. Модифицированное устройство может раскрыть фразу восстановления, которую покупатель генерирует при настройке, — последовательность из 24 слов, контролирующая доступ к средствам кошелька.

Ончейн-аналитики YFarmX сообщили, что передали Ledger список из более чем 450 опустошённых кошельков. Согласно их анализу, вор провёл 2 810 ETH через криптомиксер Tornado Cash тремя траншами, переместил выводы через защищённый пул Zcash — функцию конфиденциальности, скрывающую детали транзакций, — и вывел около 3,28 млн USDC на три новых кошелька, которые Circle может забировать.

Кроме того, по словам YFarmX, вор конвертировал 15 млн из украденных USDT в USDD — стейблкоин, который Tether не может заморозить, — перед обменом 5,1 млн обратно в USDT и отправкой около 4,23 млн USDT на депозитные адреса Binance. Tether заблокировала 10 млн USDT в первый день, при этом 15 475 ETH, 203 BTC и 10 млн USDD остаются вне досягаемости, сообщила компания. Её выводы не были независимо проверены.

Пользователь X по имени Johannes заявил, что обнаружил подделанные устройства Ledger в Европе после покупки двух устройств в розничных магазинах. По его словам, на обоих были "идентичные модификации (например, дополнительные кабели и LTE-модуль)", и он призвал Ledger отозвать продукцию.

Эти заявления не были независимо проверены, а в обновлении Ledger указано, что все подтверждённые на данный момент случаи связаны с устройствами CryptoBilis. Johannes сообщил, что отправляет второе устройство в Ledger для анализа. Decrypt обратилась к Ledger за комментарием по поводу европейских сообщений.

Контроль за реселлерами

В своём обновлении Ledger сообщила, что напоминает авторизованным реселлерам и дистрибьюторам о необходимости закупать продукцию только через авторизованные каналы и "никогда не пополнять запасы возвращёнными товарами".

Компания также предупредила пользователей о покупке у неавторизованных реселлеров, где "риск приобретения подозрительных, поддельных или модифицированных устройств значителен".

Ledger сообщила, что пересматривает меры контроля за реселлерами и развивает аппаратные средства защиты, а также призвала других участников отрасли сотрудничать с ней в вопросах защиты цепочки поставок и предотвращения вмешательства в устройства.

Ledger повторила свой совет: покупателям устройств CryptoBilis не следует настраивать неиспользованные устройства, а тем, кто уже это сделал, следует перевести средства на новую seed-фразу на устройстве, купленном непосредственно у Ledger. Эта рекомендация отражает механизм предполагаемого риска: если устройство было модифицировано до продажи, созданная на нём seed-фраза может быть уже известна злоумышленнику, и средства остаются под угрозой, пока не будут переведены на заново сгенерированную фразу.

Компания также предупредила, что мошенники могут попытаться использовать этот инцидент, заявив, что она "никогда не будет звонить вам, писать в личные сообщения или запрашивать вашу фразу восстановления из 24 слов".