Основатель и генеральный директор OneKey Иши Ван объявил, что «дилерская сеть» производителя аппаратных кошельков «значительно сократится» после полной проверки ранее сертифицированных дилеров, а у тех, у кого «неподдающиеся проверке операционные структуры или неясные конечные бенефициары», авторизация будет отозвана, и они будут удалены с официального сайта. Ван также подтвердил, что OneKey отозвал авторизацию CryptoBilis как дилера своих устройств.

Это объявление последовало за сообщениями о том, что в одном из кошельков Ledger, проданных юго-восточноазиатским реселлером CryptoBilis, содержался несанкционированный аппаратный имплант, в то время как продолжается расследование крипто-кражи, ущерб от которой сейчас оценивается в 86–93 млн долларов. Этот инцидент обнажил риски реселлерского звена в бизнесе аппаратных кошельков, где устройства проходят через посредников между производителем и конечным пользователем.

Что сказала Ledger о взломе кошельков CryptoBilis?

Обновление от 10 октября, опубликованное на странице поддержки Ledger, подтвердило, что до завершения расследования CryptoBilis не будет продавать продукцию производителя аппаратных кошельков. Это заявление появилось после того, как Ledger в публичном заявлении на X сообщил, что как минимум «в одном из устройств затронутых пользователей содержался несанкционированный аппаратный имплант».

Ledger подчеркнул, что его собственные системы и прямые каналы продаж не были затронуты, отметив, что все скомпрометированные устройства прослеживались до CryptoBilis. Различие между устройствами, полученными через реселлера, и устройствами, отгруженными непосредственно производителем, легло в основу последующих рекомендаций для клиентов.

Ledger советует всем, кто покупал кошельки у юго-восточноазиатского реселлера, не инициализировать устройства, которые ещё не были настроены. Тем, кто уже настроил устройства, приобретённые у CryptoBilis, рекомендуется перевести свои средства на кошельки, приобретённые напрямую у Ledger, а не через реселлеров.

На данный момент аналитики по безопасности оценивают, что около 300 кошельков Ledger были опустошены примерно на 86–93 млн долларов.

Почему покупатели OneKey и SafePal нервничают

Хотя на данный момент кражи были зафиксированы только у кошельков Ledger, тревога из-за безопасности распространилась и на клиентов других производителей кошельков. CryptoBilis указывает себя в качестве авторизованного реселлера кошельков Ledger, Trezor, OneKey, Tangem, SafePal, imKey и других в Малайзии, а также работает в Индонезии и на Филиппинах.

В посте на X Иши Ван попытался успокоить панику, написав: «Мы прекратили авторизацию CryptoBilis; компания больше не является авторизованным дилером OneKey».

Ван также описал трёхэтапный план OneKey поению текущих рисков и предотвращению дальнейшей эскалации.

Шаг первый: OneKey прекратил добавление новых дилеров, начиная с заявления от 12 октября.

Шаг второй: все существующие дилеры, включая ранее сертифицированных, пройдут новую процедуру проверки. Дилеры с «неподдающимися проверке операционными структурами или неясными конечными бенефициарами» потеряют авторизацию, а OneKey опубликует полный список авторизованных дилеров на своём официальном сайте.

Шаг третий: пользователи, купившие устройства OneKey у CryptoBilis в период со 2 марта по 12 октября 2026 года, имеют право на бесплатную замену. Даже те, кто уже активировал или использовал свои устройства, могут получить замену.

По словам Вана, OneKey выбрал дату отсечения 1 марта, потому что бывший сооснователь CryptoBilis публично заявил, что компания завершила передачу операционного управления в марте после приобретения в начале этого года. После публикации полного списка дилеров на официальном сайте он станет ориентиром для покупателей, позволяющим проверить, авторизован ли продавец в настоящее время.

Единственный ранее зафиксированный аппаратный недостаток OneKey относится к 2023 году, когда компания по безопасности Unciphered извлекла seed-фразу устройства в лабораторной атаке. OneKey устранил уязвимость, выплатил вознаграждение и заявил, что ни один пользователь не пострадал.

Кому сейчас принадлежит CryptoBilis?

Свежие корпоративные записи указывают на смену контроля над малайзийским реселлером до подозреваемой атаки через цепочку поставок. Бывшие сооснователи CryptoBilis заявили на LinkedIn, что в марте передали компанию новым владельцам, а по сообщениям, право собственности перешло к лицу, известному как Цзямин, гражданину Китая.

Подтверждённых сообщений, связывающих новых владельцев с этим инцидентом безопасности, нет.

В 2026 году уже шесть брендов аппаратных кошельков сообщили о проблемах безопасности. Galaxy Research оценила ущерб в деле Coldcard более чем в 115 млн долларов, а обнародованная в начале октября информация Ledger стала вторым инцидентом с потерей средств. Cryptopolitan также сообщал об утечке в BasedApp, которая на прошлой неделе раскрыла KYC-данные клиентов.