Компания Chainalysis, специализирующаяся на блокчейн-аналитике, сообщила, что одной из крупнейших жертв недавнего опустошения подделанных аппаратных кошельков Ledger стал мошенник, потерявший более 60 BTC на сумму около 4,8 млн долларов.

Эта новость вызвала у наблюдателей определную долю злорадства: выяснилось, что в числе украденных средств оказалась выручка от мошеннической схемы, которую вел сам пострадавший.

Chainalysis раскрыла транзакции, стоящие за кражей, в результате которой было похищено биткоинов примерно на 4,8 млн долларов, в посте в X в четверг. По данным компании, украденный биткоин имел происхождение из таск-скама. В схемах такого типа людям платят за фальшивые продажи и отзывы о реальных товарах. В определенный момент на счете участника появляется «отрицательный баланс», и ему предлагают внести собственные деньги, чтобы получить оплату.

One of the biggest victims of the Ledger theft was a scammer themselves. They lost more than 60BTC, about $4.8M. The funds were from a task scam. In this task scam, people were paid to fake sales and reviews of real items. Then a "negative balance" appeared, and they were told… pic.twitter.com/pGXNJkZJUi

— Chainalysis (@chainalysis) October 15, 2026

По сути, организатор таск-скама оказался на проигравшей стороне более крупной кражи. 22 сентября он перевел выручку на три отдельных адреса Ledger. Менее чем через три недели, 9 октября, воры опустошили все три, отправив по одному переводу с каждого в один и тот же кошелек, который, по имеющимся данным, используется для хранения краденых средств.

Опубликованная Chainalysis схема показывает, что средства от скама проходили через кошелек для консолидации, прежде чем попасть на три адреса Ledger, каждый из которых был опустошен примерно на 1,64 млн долларов.

Ledger раскрыла информацию об инциденте 9 октября — в тот же день, когда были опустошены адреса.

Подделанные устройства Ledger

Команда безопасности Ledger Donjon сообщила, что обнаружила имплант в кошельках, проданных через юго-восточноазиатского реселлера CryptoBilis. По данным команды, имплант считывает 24-словную фразу восстановления с экрана устройства при настройке и отправляет ее по LTE. Это подрывает саму основу концепции аппаратного кошелька, который предназначен для хранения фразы восстановления в офлайне; после перехвата одной только фразы достаточно, чтобы воссоздать кошелек в другом месте и переместить защищаемые им средства, независимо от того, кто их туда внес.

Ledger сообщила, что все подтвержденные потери связаны с устройствами, проданными через CryptoBilis. Эта закономерность указывает на компетацию в канале реселлеров, а не в прямых продажах Ledger, подчеркивая, каким образом подделка может проникнуть в цепочку поставок после того, как устройства покидают производителя, но до того, как они попадают к покупателям.

Chainalysis не уточнила, где мошенник приобрел подделанные устройства.

Ончейн-аналитик Specter отследил подозрительные кражи на сумму более 86 млн долларов, связанные с кампанией по подделке устройств, хотя Ledger заявляет, что не подтверждает эту цифру. Во вторник Ledger попросила реселлеров и дистрибьюторов в шести странах Юго-Восточной Азии и Гонконге приостановить продажи ее устройств.

Ledger не подтвердила общее число затронутых пользователей и общую сумму потерь, а расследование продолжается — полный масштаб кампании и разрыв между сторонними оценками и подтвержденными потерями пока остаются открытыми вопросами.