Ledger обнаружила аппаратный имплант в кошельке пользователя

Ledger обнаружила аппаратный имплант в криптокошельке пользователя во время расследования кражи. Компания просит часть владельцев не запускать устройства и проверить, где и как они были куплены.

Инцидент затронул и продавца CryptoBilis, который временно приостановил продажу всех аппаратных кошельков. Параллельно исследователи предупредили о фальшивых сайте и приложении Ledger в Google Search. Они крадут seed-фразы.

Что именно нашла Ledger и кого это касается?

По сообщению службы поддержки, в одном из устройств пострадавших обнаружили несанкционированный аппаратный имплант. Ledger говорит, что сотрудничает с правоохранителями и продавцом CryptoBilis, а также поблагодарила команду SEAL 911 за помощь. Это важно для людей, которые покупали аппаратные кошельки через этот канал.

Компания отдельно подчеркнула, что на данный момент нет признаков компрометации ее систем, инфраструктуры или сервисов. То есть проблема, по имеющимся данным, не во взломе самой Ledger. Вопрос сейчас в цепочке поставок. И это уже другая история.

Ledger советует тем, кто купил устройство в CryptoBilis, но еще не настроил его, не начинать активацию. А если кошелек уже запущен, стоит подумать о переносе активов на новое устройство с новой seed-фразой. Именно здесь риск самый высокий.

Почему эта история вышла за пределы одного продавца?

Потому что речь идет не только об одном устройстве. По данным Bitquery, оценка ущерба выросла до $93,2 млн. Там же говорится о 315 кошельках в 6 сетях, среди которых TRON, Bitcoin, Ethereum, Solana, BNB Chain и Polygon.

Есть еще один тревожный сигнал. Bitquery пишет, что 25 TRON-кошельков подписали одинаковый approval за 3 секунды. Перед основным дрейном были и 2 недели тестовых операций. Это похоже на хорошо подготовленную схему, а не на случайный сбой.

Наибольшая часть потерь пришлась на TRON и USDT. По оценке Bitquery, Tether заморозила $10,0 млн USDT в 20 кошельках, но еще около $10,0 млн USDD заблокировать сложнее.

Фальшивый Ledger в Google Search: как работает ловушка

Отдельно исследователь Cyber Scrilla сообщил о фальшивом сайте и приложении Ledger, которые показывались среди первых результатов Google Search. Он написал, что страницы созданы для кражи seed-фраз. По его словам, Google показывал более 1 млн посещений за 30 дней.

Это не мелочь. Ранее Zscaler ThreatLabz уже описывала кампанию против пользователей Ledger через вредоносную рекламу Google. Схема шла через Google Cloud Storage, Vercel и фальшивую страницу Google Sites. Перенаправления Vercel менялись каждые 15-20 минут.

Проще говоря, это игра на доверии. Человек видит знакомый бренд, переходит по ссылке и сам отдает секретную фразу. А дальше деньги уже не вернуть одним кликом.

Реакция рынка

Рынок аппаратных кошельков болезненно реагирует на такие истории даже без прямого взлома самой компании. Причина проста: доверие здесь важнее рекламы. Если пользователь начинает сомневаться в цепочке поставки, он переносит риск на весь бренд.

У Ledger эта тема еще чувствительнее, потому что компания сама говорит о масштабе. На ее сайте указано более 8 млн устройств, пользователи в 195 странах и защита более 20% мировых цифровых активов. Поэтому даже локальный инцидент с реселлером бьет по репутации далеко за пределами одного рынка.

• Ledger не видит признаков взлома своих систем.

• CryptoBilis приостановила продажу всех аппаратных кошельков.

• Пользователям советуют не запускать новые устройства из этого канала.

• Активированные кошельки лучше проверить и, при необходимости, перенести средства.

• Seed-фразу нельзя вводить на сайтах или в поиске.

На этом фоне важно помнить и о старых рисках. В августе команда OneKey Anzen сообщала об атаке, где в приложении Ethereum для Ledger версии 1.22.1 можно было подменить транзакцию во время подписания. Это еще раз показывает, что слабое место часто не в монете, а в точке взаимодействия.

Что это значит для инвесторов?

Для владельцев криптовалюты главный вывод прост: проверяйте не только само устройство, но и путь, которым оно к вам попало. Если кошелек куплен через реселлера, сохраните чек, упаковку и серийные данные. Это может помочь во время расследования.

Второй момент касается seed-фразы. Ledger прямо говорит, что никогда не просит сообщать 24-словную фразу восстановления. Если сайт, реклама или чат это требуют, нужно остановиться. Именно так и работают фишинговые ловушки.

Для украинских пользователей здесь есть еще одна практическая мысль. Если вы держите значительную сумму в одном кошельке, лучше иметь отдельное новое устройство для холодного хранения. Это не модный совет, а способ не смешивать старый риск с новыми активами.

Частые вопросы

Нужно ли срочно выключать все Ledger?

Нет, в сообщении речь идет не обо всех устройствах, а о части пользователей, связанных с конкретным продавцом. Ledger говорит, что ее собственные системы не скомпрометированы. Но если вы купили кошелек в CryptoBilis и еще не настроили его, лучше не начинать активацию.

Почему seed-фразу нельзя вводить в Google или на сайте?

Seed-фраза дает полный доступ к вашим средствам. Если ее ввести на фальшивой странице, деньги могут исчезнуть мгновенно. Именно поэтому Ledger напоминает: компания никогда не просит 24-словную фразу восстановления.

Что делать, если кошелек уже активирован?

Ledger советует рассмотреть перенос активов на новое устройство с новой seed-фразой. Это особенно уместно, если вы покупали устройство у продавца, который фигурирует в расследовании. Чем раньше вы это сделаете, тем меньше шансов наткнуться на скрытую проблему.

История с Ledger показывает простую вещь: в крипте опасность часто приходит не через сам блокчейн, а через сайт, продавца или поддельную страницу. Если вам нужно быстро продать Bitcoin на Monobank, делайте это через проверенный сервис и не спешите с подозрительными ссылками.

Данный материал не является финансовой рекомендацией. Торговля криптовалютами сопряжена с рисками. Часть текста подготовлена с использованием искусственного интеллекта на основе открытых источников и проверена редакцией.