Ledger, французский производитель аппаратных криптокошельков, объяснил, как воровали деньги с устройств, проданных через малазийского реселлера CryptoBilis. Внутрь кошельков еще до продажи встроили шпионский модуль. Он считывал с экрана секретную фразу восстановления и отправлял ее мошенникам по мобильной сети.
Все подтвержденные потери связаны только с этим продавцом. Но один из пользователей заявил, что нашел такие же модули в двух кошельках из магазинов MediaMarkt в Европе.
Как обнаружили проблему
Аппаратный кошелек хранит криптовалюту вне интернета. Доступ к ней дает фраза из 24 слов, которую устройство показывает один раз при настройке.
Ончейн-аналитики оценивают потери почти в $90 млн. Ledger не подтверждает ни число пострадавших, ни сумму. CryptoBilis прекратила продажи на время расследования.
Как работала закладка
В практике по безопасности такой модуль называют аппаратной закладкой. Она работала так:
Закладка не трогала защищенный чип и операционную систему Ledger. Сам кошелек работал штатно, утечка происходила в момент показа фразы.
Сообщения о зараженных кошельках в Европе
Пользователь X под ником Johannes заявил, что купил два кошелька Ledger в разных магазинах MediaMarkt и в обоих нашел одинаковые модификации с LTE-модулем. По его данным, партия поступила от дистрибьютора Aqipa GmbH, который работает по всей Европе. Он призвал Ledger отозвать продукцию.
Ledger проверяет сообщения из других регионов, но пока не подтвердила ни одного случая за пределами CryptoBilis.
Что делать владельцам Ledger
Если кошелек куплен у CryptoBilis:
Если средства украдены, нужно написать в поддержку Ledger и подать заявление в полицию. Вскрывать кошелек без согласования с правоохранителями не стоит.
Остальным владельцам Ledger советует покупать устройства только у официальных продавцов и помнить, что компания никогда не запрашивает 24 слова.
Другие атаки на кошельки в 2026 году
Случай с Ledger стал шестым инцидентом за год. Деньги пользователи потеряли только в двух из них.
Производители советуют покупать устройства только у официальных продавцов, обновлять ПО и вводить слова восстановления только на самом устройстве.
