Tether заморозила $10 млн в своей стейблкоин-валюте USDT в связи с кражей, в результате которой с аппаратных кошельков Ledger, проданных реселлером CryptoBilis, было выведено до $93 млн активов. Заморозка произошла на фоне продолжающегося отслеживания движения украденных средств и заявлений Ledger о том, что инцидент ограничен устройствами, проданными одним сторонним поставщиком.

Что Ledger подтвердила на данный момент

Компания Ledger, французский производитель криптовалютных кошельков, пока не прокомментировала размер потерь. Компания заявила, что все выявленные ею случаи связаны с устройствами, проданными CryptoBilis — сторонним поставщиком, работавшим в Малайзии, Индонезии и на Филиппинах. Также Ledger подчеркнула, что признаков компрометации собственных систем, сервисов или прямых продаж нет. Это различие важно, поскольку модель безопасности аппаратного кошелька предполагает, что устройство поступает к владельцу без вмешательства, а приватные ключи никогда не покидают его.

В этом деле также появился аспект физического вмешательства, выходящий за рамки уязвимостей, связанных с программным обеспечением. 10 октября компания сообщила, что одному из пострадавших пользователей принадлежало устройство с установленным несанкционированным физическим имплантом — это стало первым свидетельством физической компрометации кошельков Ledger в данном случае.

Послание компании покупателям однозначно: тем, кто приобрел устройство CryptoBilis в течение последних 90 дней и еще не настроил его, следует не трогать его. Пользователям, которые сейчас работают с таким устройством, рекомендуется перевести монеты на другое устройство с новой секретной фразой восстановления. Акцент на использовании новой фразы является ключевым элементом рекомендации: слова восстановления — это главный резервный ключ аппаратного кошелька, и кошелек можно восстановить на любом совместимом устройстве только с помощью этой фразы. Покупка исключительно через официальные каналы и проверка подлинности устройства при настройке являются стандартными мерами защиты от подобных манипуляций до продажи.

Как следователи подсчитали потери

Оценки потерь принадлежат аналитикам блокчейнов, а не Ledger. Bitquery подсчитала, что в результате атаки с 315 кошельков в шести отдельных блокчейнах было выведено $93,2 млн, преимущественно в USDT и монетах TRON. Платформа безопасности YFarmX назвала более высокую сумму, заявив, что атака принесла злоумышленникам $94,5 млн с 521 кошелька в семи разных блокчейнах. Обе оценки основаны на данных публичных блокчейнов.

Согласно анализу Bitquery, большая часть украденных средств находилась в сети TRON — около $70,5 млн. Еще $16,8 млн приходилось на Bitcoin и $3,7 млн — на Ethereum, а на BNB Chain, Polygon и Solana — значительно меньшие суммы.

Предполагается, что операция планировалась в течение нескольких месяцев: адреса, задействованные в краже, были созданы 25 сентября и до начала октября провели десятки тестовых переводов. Основное перемещение средств произошло 9 октября, когда, по данным Bitquery, злоумышленники изменили права доступа к 30 кошелькам TRON, а час спустя перевели около 203,8 BTC со 111 биткоин-кошельков в рамках одного блока. Такая операция возможна только при наличии у злоумышленника необходимых ключей.

Это важно, поскольку эмитенты стейблкоинов могут заносить в черный список токены, использованные в незаконной деятельности. Bitquery, подтвердившая заморозку средств Tether, сообщила, что по состоянию на 11 октября в блокчейне оставалось около $81 млн отслеживаемых токенов, хотя часть средств уже прошла через сервисы-миксеры Tornado Cash и Zcash. Tornado Cash объединяет транзакции, чтобы скрыть их след, а Zcash предлагает защищенные переводы, призванные скрывать отправителя, получателя и сумму. Поэтому естественным следующим вопросом в этом деле становится то, какая часть отслеживаемого остатка будет заморожена и удастся ли по-прежнему отследить какие-либо смешанные средства.

Критика в адрес авторизованного реселлера

Характеристика Ledger произошедшего как проблемы CryptoBilis не осталась без возражений. На сайте реселлера размещался официальный значок Ledger, что, по мнению критиков, делает Ledger ответственной за ситуацию. «Это не инцидент CryptoBilis, это инцидент Ledger», — заявил пользователь X MyCryptoParadise, призвавший компанию «взять на себя ответственность за этот беспорядок». Этот спор затрагивает структурную особенность бизнеса аппаратных кошельков: производители полагаются на реселлеров для расширения дистрибуции, однако каждый дополнительный посредник становится звеном цепочки, которое производитель напрямую не контролирует.

Существует и предыстория, связанная с владельцами реселлера. По словам соучредителя Arravind Prabu, CryptoBilis была приобретена в марте 2026 года, и вся команда передала доступ ко всем системам в ходе сделки, как цитирует Learning Crypto. Согласно опубликованным данным компании, единственный новый инвестор был зарегистрирован в Китае. На данный момент связь между кражами и сменой владельца не установлена, а расследование не выявило вмешательства со стороны новых инвесторов.

CryptoBilis приостановила продажи и поставки всех реализуемых брендов, а также закрыла свои обычные магазины во всех трех странах.

Имплант, разобранный Марком Карпелесом

Возможно, наиболее подробное описание модифицированного оборудования принадлежит основателю Mt. Gox Марку Карпелесу. Карпелес разобрал купленный в Малайзии Ledger Nano X и, как сообщило Learning Crypto, обнаружил под экраном дополнительные компоненты: сотовый модем, eSIM и небольшой чип, способный перехватывать отображаемую на экране информацию.

При настройке кошелька слова восстановления отображаются на этом экране. Компонент, способный перехватывать данные с дисплея, мог бы передавать эти слова через мобильную сеть, позволяя восстановить кошелек в другом месте и украсть его средства. Подобный имплант является примером атаки на цепочку поставок, при которой устройство изменяют где-то между производством и доставкой, а не взламывают удаленно. Поскольку компоненты находились под экраном устройства, которое нормально работало, обычному покупателю было бы трудно их заметить. Пока не доказано, что такие компоненты содержались во всех устройствах, и вопрос о том, будут ли обнаружены другие имплантированные устройства, остается открытым в рамках расследования.

Следует отметить, что этот случай отличается от отдельной кражи, о которой сообщили в марте и которая произошла в апреле, когда фишеры использовали приложение Ledger Live в App Store компании Apple, чтобы украсть не менее $9,5 млн.