Ledger сообщила, что её команда исследователей безопасности Donjon обнаружила несанкционированный аппаратный имплант, скрытый в аппаратных кошельках, проданных CryptoBilis — реселлером, работающим в Юго-Восточной Азии. Скрытый компонент считывает 24-словную фразу восстановления с экрана устройства во время настройки кошелька и передает слова по сотовой связи с помощью предустановленной eSIM.

Компания из Парижа — производитель аппаратных кошельков — объявила о находке в публикации в X во вторник. Ledger Donjon, внутренняя команда Ledger по исследованию безопасности, подтвердила наличие импланта в субботу, 10 октября, в устройстве одного из пострадавших пользователей. Все подтвержденные потери в рамках инцидента, о котором Ledger впервые сообщила в пятницу, связаны с устройствами, проданными через CryptoBilis, и компания заявила, что не подтвердила вывод средств, связанный с устройством, купленным в каком-либо другом месте.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— (@Ledger) October 13, 2026

Аппаратные кошельки являются основой самостоятельного хранения криптовалюты и созданы для того, чтобы держать приватные ключи пользователя в офлайне. Устройство Ledger, которое компания называет подписывающим устройством (signer), отображает свою 24-словную фразу восстановления на экране во время первоначальной. Любой, кто получит эту фразу, сможет восстановить кошелек на другом устройстве и получить полный контроль над его средствами. Экран настройки, таким образом, — единственный момент, когда фраза видна вне устройства, поэтому имплант, считывающий дисплей, может обойти защиту кошелька, не изменяя её.

Согласно анализу Ledger Donjon, имплант находится внутри корпуса устройства и считывает то, что отображается на экране. Когда он обнаруживает экраны с фразой восстановления, его микроконтроллер декодирует слова и передает их по LTE с помощью предустановленной eSIM.

Ledger сообщила, что имплант является отдельным компонентом, добавив, что он не изменяет Secure Element устройства или операционную систему Ledger, а также не вмешивается в транзакции или подписи. По данным Ledger, CryptoBilis подтвердила, что приостановила продажу устройств Ledger на время расследования. Это дело также привлекает внимание к уровню сторонних реселлеров в аппаратной цепочке поставок, где устройства проходят вне прямого контроля производителя, прежде чем попасть к покупателям.

Компания не подтвердила общее число пострадавших пользователей и сумму потерь, отметив, что цифры, распространяемые в интернете, поступают от третьих сторон, которые она не смогла полностью проверить. Блокчейн-аналитик Specter отследил предполагаемые кражи на сумму более $86 млн в сетях Ethereum, Tron и Bitcoin, как сообщила Decrypt в пятницу.

Ledger изучает сообщения за пределами CryptoBilis

Ledger сообщила, что также изучает сообщения об имплантах в других подписывающих устройствах и локациях. Пользователь X заявил, что нашел два поврежденных устройства Ledger, купленных в розничных магазинах Европы; это заявление не было независимо подтверждено.

Компания посоветовала покупателям устройств CryptoBilis, которые еще не настроили их, не делать этого и обратиться в службу поддержки Ledger. Тем, кто уже настроил устройства, следует незамедлительно перевести свои активы на новое устройство с новой фразой восстановления и не вводить и не восстанавливать какую-либо фразу восстановления на устройстве, купленном у CryptoBilis.

Пользователям, потерявшим средства или владеющим поврежденным устройством, Ledger также рекомендовала подать заявление в местные правоохранительные органы, а также не отправлять устройство никому и не вскрывать его до обращения в службу поддержки Ledger или полицию.

Покупатели, не приобретавшие устройства у CryptoBilis, могут осмотреть внутренности устройства с помощью руководства Ledger, однако компания предупредила, что вскрытие подписывающего устройства может повредить его, и призвала пользователей сначала сделать резервную копию фразы восстановления.

Ledger повторила, что никогда не звонит пользователям, не пишет им напрямую и не запрашивает фразу восстановления. Donjon проанализирует получ устройства и поделится дополнительной информацией по мере расследования, сообщила компания.