Глава Ledger Паскаль Готье и Марк Карпельс, бывший руководитель обанкротившейся биржи Mt. Gox, обменялись публичной критикой на X 17 октября. Спор сосредоточен на том, насколько ясно производитель аппаратных кошельков предупреждал клиентов о подделанных устройствах, связанных с криптовалютными кражами на оценочные 90 миллионов долларов, и разгорелся на фоне продолжающихся последствий от скомпрометированных устройств Ledger, распространявшихся через стороннего реселлера в Юго-Восточной Азии.

Карпельс усомнился, достаточно ли ясно Ledger предупреждала покупателей о шпионских вживлённых компонентах, обнаруженных в модифицированных кошельках. Готье защищал репутацию компании в области безопасности и призывал критиков отделять доказанные факты от догадок. Аппаратные кошельки предназначены для хранения закрытых ключей пользователя в офлайн-режиме, что делает целостность цепочки поставок критически важной. Этот инцидент демонстрирует конкретный риск вмешательства на этапе перепродажи: покупатель получает оригинальное устройство, но изменённое после выхода с завода.

Поправка: я говорил, что @Ledger вообще не освещала ситуацию с вживлёнными компонентами, хотя знала о ней – на самом деле в марте 2026 года компания опубликовала материал в академии, где эта ситуация разбирается и рекомендуется покупать устройства напрямую или у авторизованных реселлеров. pic.twitter.com/UNrxyLmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Карпельс утверждал, что более чёткое предупреждение могло бы уберечь пользователей от потерь более чем на 90 миллионов долларов. Он также сообщил, что Ledger получала сообщения о шпионских аппаратных вживлениях ещё в декабре 2025 года.

Готье ответил личным выпадом с отсылкой к прошлому Карпельса. «От президента Mt Gox… Да ладно, чувак. Ты не белый рыцарь. Вернись на землю», — написал он.

Mt. Gox, когда-то крупнейшая в мире биткоин-биржа, обанкротилась в 2014 году после крупных потерь Bitcoin. Карпельс заявил, что именно этот опыт заставляет его ожидать более ответственной коммуникации по вопросам безопасности от компаний, хранящих активы клиентов.

Что и когда опубликовала Ledger

Карпельс сослался на руководство по безопасности Ledger под названием «Best Practices To Securely Buy Your Ledger Signer». На сайте Ledger датой первой публикации указано 6 марта 2026 года. В руководстве рекомендуется покупать устройства напрямую у Ledger или через авторизованных реселлеров.

Руководство охватывает поддельные устройства, кошельки с заранее заданными резервными фразами и оригинальные устройства, изменённые после выхода с завода. Оно содержит фотографии модифицированных печатных плат. Страница последний раз обновлялась 18 сентября. Без сохранённой копии мартовской версии невозможно установить, когда были добавлены каждая фотография или предупреждение.

Ledger не сообщила, когда впервые узнала о затронутых устройствах CryptoBilis. Эта нераскрытая хронология — центральный пункт спора. Публичная перепалка между двумя руководителями не свидетельствует о том, что компания намеренно скрывала информацию.

Как работала атака

Следователи обнаружили дополнительную электронику, скрытую внутри оригинального устройства Ledger, проданного через CryptoBilis — реселлера из Юго-Восточной Азии. Вживлённое оборудование могло захватить резервную фразу из 24 слов при настройке кошелька, а затем передать слова через сотовое соединение. Резервная фраза служит главным резервным ключом для аппаратного кошелька, поэтому любой, кто владеет полной фразой, получает доступ к связанным средствам, не прикасаясь к самому устройству.

Ledger сообщает, что её Genuine Check — функция проверки, которую покупатели могут запустить перед использованием устройства, — лишь подтверждает подлинность чипа Secure Element. Она не способна выявить дополнительные компоненты, если оригинальный чип остаётся на месте. Компания заявила, что Secure Element, операционная система и процесс подписания транзакций не были скомпрометированы. 9 октября Ledger попросила CryptoBilis приостановить продажи и отгрузки.

Galaxy Research 16 октября оценила предположительные потери примерно в 91 миллион долларов. Ledger не подтвердила итоговую сумму, в другом отчёте потери оценивались более чем в 100 миллионов долларов.

Ledger посоветовала клиентам, купившим устройства у этого реселлера за последние 90 дней, не настраивать неиспользованные кошельки. Тем, кто уже это сделал, рекомендовали перевести средства на новый кошелёк на доверенном устройстве.

Карпельс утверждает, что похожие вживлённые компоненты появлялись и в других регионах, и что он помогал пользователям проверять свои устройства. Ledger оспорила сообщения о воздействии в Европе после рассмотрения случая в Германии. Trezor и OneKey удалили сторонних реселлеров и ужесточили проверки дистрибуции. Эти меры направлены на ту же уязвимость, которую обнажила атака: после подтверждения подлинности оригинального чипа устройства стандартные проверки не могут обнаружить добавленное вокруг него оборудование, из-за чего ответственность перекладывается на сам канал продаж. Ledger настаивает на том, что компрометация ограничена Юго-Восточной Азией, тогда как другие утверждают, что она распространяется шире. Подтверждённая сумма потерь и полный географический охват подмены устройств остаются невыясненными.