Ledger официально подтвердила наличие несанкционированного аппаратного импланта в устройстве одного из пострадавших клиентов. Инцидент связан с реселлером CryptoBilis из Юго-Восточной Азии. Компания приостановила продажи на время расследования. По данным ончейн-исследователей, потери оцениваются в диапазоне от $86 млн до $93,2 млн .
Ключевой момент: имплант не трогает защищённый чип (Secure Element), операционную систему Ledger и не изменяет подписи транзакций. Это атака на цепочку поставок — физическое вмешательство в устройство до того, как оно попало к покупателю .
Микроконтроллер ST STM32G431KBU6 (Arm Cortex-M4)
eSIM размером 2×2 мм
Экранированный LTE-модуль с антенной
Злоумышленники заменили оригинальную батарею на меньшую, чтобы освободить место для электроники. В более продвинутой версии имплант спрятан под OLED-дисплеем и работает от штатной батареи. Демаскирующим признаком является антенный провод, проходящий по верхнему краю корпуса .
Потери распределены между Bitcoin, Ethereum и TRON. Более $70 млн** пришлось на TRON-кошельки, **$16,8 млн — на Bitcoin. Около $10 млн USDT заморожено Tether. Часть средств переведена в Tornado Cash .
Паттерн транзакций указывает на единого оператора: 25 TRON-кошельков были опустошены в течение трёх секунд друг за другом после примерно двух недель небольших тестовых переводов .
Не инициализировать неиспользованные устройства
Если кошелёк уже настроен — перевести активы на новое устройство Ledger с новой seed-фразой
Не восстанавливать старую seed-фразу на затронутом устройстве
CryptoBilis приостановила продажи всех аппаратных кошельков до завершения расследования . Ledger подчёркивает, что её собственные системы и прямые каналы продаж не скомпрометированы, и что все подтверждённые случаи потерь связаны исключительно с устройствами от CryptoBilis .
Расследование продолжается. Ledger взаимодействует с правоохранительными органами и просит пострадавших обращаться в официальную поддержку и подавать заявления в местную полицию.
Как работает имплант
По данным команды безопасности Ledger Donjon, вредоносный компонент спрятан внутри корпуса устройства и считывает содержимое экрана. Во время первоначальной настройки кошелька, когда на дисплее отображается 24-словная seed-фраза, имплант декодирует слова с помощью микроконтроллера и передаёт их злоумышленнику через LTE-сеть с использованием встроенной eSIM .Ключевой момент: имплант не трогает защищённый чип (Secure Element), операционную систему Ledger и не изменяет подписи транзакций. Это атака на цепочку поставок — физическое вмешательство в устройство до того, как оно попало к покупателю .
Технические детали
Исследовательская лаборатория Tibane Labs и бывший CEO Mt. Gox Марк Карпелес независимо подтвердили находку. Внутри устройств Ledger Nano X обнаружены:Микроконтроллер ST STM32G431KBU6 (Arm Cortex-M4)
eSIM размером 2×2 мм
Экранированный LTE-модуль с антенной
Злоумышленники заменили оригинальную батарею на меньшую, чтобы освободить место для электроники. В более продвинутой версии имплант спрятан под OLED-дисплеем и работает от штатной батареи. Демаскирующим признаком является антенный провод, проходящий по верхнему краю корпуса .
Почему проверка подлинности не помогла
Критически важный момент: Ledger Genuine Check не способен обнаружить такой имплант. Проверка подтверждает подлинность защищённого чипа, но не выявляет добавленные физические компоненты, если оригинальный чип остался на месте. Устройство может проходить проверку как «подлинное», оставаясь при этом скомпрометированным .Масштаб потерь
Ledger официально не подтвердила сумму ущерба. Независимые исследователи приводят разные оценки:| Источник | Оценка | Кошельков |
|---|---|---|
| Specter (первая оценка) | >$86 млн | сотни |
| tanuki42 | >$72 млн | — |
| Bitquery | ~$92,9 млн | 311 |
| CoinDesk (со ссылкой на исследователей) | до $93,2 млн | >300 |
Паттерн транзакций указывает на единого оператора: 25 TRON-кошельков были опустошены в течение трёх секунд друг за другом после примерно двух недель небольших тестовых переводов .
Что делать пользователям
Ledger дала чёткие инструкции для тех, кто покупал устройства у CryptoBilis за последние 90 дней:Не инициализировать неиспользованные устройства
Если кошелёк уже настроен — перевести активы на новое устройство Ledger с новой seed-фразой
Не восстанавливать старую seed-фразу на затронутом устройстве
CryptoBilis приостановила продажи всех аппаратных кошельков до завершения расследования . Ledger подчёркивает, что её собственные системы и прямые каналы продаж не скомпрометированы, и что все подтверждённые случаи потерь связаны исключительно с устройствами от CryptoBilis .
Расследование продолжается. Ledger взаимодействует с правоохранительными органами и просит пострадавших обращаться в официальную поддержку и подавать заявления в местную полицию.
