Взлом Ledger: аппаратная закладка и кража $93 млн

Компания Ledger официально подтвердила факт эксплуатации уязвимости: как минимум в одном устройстве, связанном с расследованием кражи средств через CryptoBilis, был обнаружен несанкционированный аппаратный имплант. По предварительным оценкам, потенциальные потери могут достигать $93 млн, затронув 311 кошельков в пяти различных блокчейнах. На данный момент находка подтверждает факт физического вмешательства в конструкцию одного из пострадавших устройств.

В обновленном отчете Ledger сообщила, что в ходе осмотра устройства одного из пострадавших пользователей был выявлен скрытый аппаратный модуль. Все затронутые клиенты приобретали кошельки через CryptoBilis — реселлера, работающего на рынках Индонезии, Малайзии и Филиппин.

72 hour update on reseller CryptoBilis incident 🔽

As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.…

— Ledger (@Ledger) October 11, 2026

Представители Ledger заявили, что уже связались с пострадавшими пользователями и начали сотрудничество с правоохранительными органами. Компания также потребовала от CryptoBilis приостановить продажу всех имеющихся на складе аппаратных кошельков на время расследования, а не только продукции бренда Ledger.

Заявление компании о том, что внутренние системы и сервисы не имеют признаков компрометации, указывает на то, что брешь возникла на этапе физической логистики или на стороне реселлера, а не в результате взлома бэкенда Ledger. Это значительно сужает круг поиска в рамках расследования.

Взлом Ledger и расследование экс-главы Mt. Gox

Бывший генеральный директор биржи Mt. Gox Марк Карпелес начал собственное расследование инцидента с Ledger 9 октября 2026 года после получения Ledger Nano X из Малайзии. Устройство вызвало у него подозрения в физическом вмешательстве. Несмотря на то, что термоусадочная упаковка выглядела неповрежденной, Карпелес обнаружил скрытый электронный модуль за экраном — в том месте, где обычно находится амортизирующая прокладка устройства.

Need free data? Buy a cheap ledger off a dodgy seller, pull the sim out of the spy implant and enjoy while you can (law enforcement may visit you thinking you are the one making these).https://t.co/ycMuv98UHh pic.twitter.com/4tVCkrqlF0

— Mark Karpelès (@MagicalTux) October 8, 2026

По словам Карпелеса, обнаруженный имплант включал в себя микроконтроллер, оборудование для сотовой связи LTE, антенну и eSIM, подключенные к цепям дисплея. Он полагает, что такая конфигурация позволяет модулю перехватывать фразы восстановления (seed-фразы), отображаемые при настройке кошелька, и передавать их через сотовую сеть злоумышленникам.

Впоследствии он приступил к более детальному изучению компонента и призвал CryptoBilis проверить нераспроданные запасы на наличие аналогичных модификаций. Позже Ledger подтвердила обнаружение несанкционированного аппаратного импланта внутри устройства другого пострадавшего клиента.

Основная проблема безопасности кроется в канале перепродажи: клиенты доверяют бренду и торговой точке, однако подтвержденные факты показывают, что как минимум одно устройство в рамках этого дела было физически изменено до попадания к конечному пользователю.

CryptoBilis продан неизвестному покупателю?

Смена владельца CryptoBilis добавила еще один слой неопределенности в расследование. Согласно отчетам, бывшие соучредители компании, Арравинд Прабу и Вималатитан, заявили, что сделка по продаже была завершена еще в марте 2026 года, тогда же был передан операционный контроль.

Однако они утверждают, что соглашение о конфиденциальности не позволяло им публично объявить о транзакции до середины октября. Сроки привлекли внимание общественности, поскольку сообщения о кражах криптовалюты с устройств Ledger, проданных через CryptoBilis, начали появляться именно в октябре.

HARDWARE WALLET RESELLER CRYPTOBILIS SOLD TO CHINESE NATIONAL BEFORE SUSPECTED SUPPLY CHAIN ATTACK

Newly surfaced corporate records indicate that Malaysian hardware wallet reseller CryptoBilis changed ownership, with an individual identified as Jiaming, whose registered address… pic.twitter.com/0d9KmPp35y

— Bitcoin News (@BitcoinNewsCom) October 9, 2026

Корпоративные записи, цитируемые изданием BitPinas, показывают, что 100% акций CryptoBilis были переведены лицу, идентифицированному как Jiaming, 3 августа 2026 года. Зарегистрированный адрес покупателя якобы находится в провинции Хэйлунцзян, Китай. Примечательно, что иероглифы 假名 (jiǎmíng) в китайском языке означают «вымышленное имя».

На данный момент следователям еще предстоит установить, как именно модифицированные устройства попали в оборот, кто установил компоненты и была ли смена владельца связана с атакой. Сейчас нет прямых доказательств, связывающих нового владельца CryptoBilis с манипуляциями над оборудованием.

Сообщение о MediaMarkt в Европе и меры предосторожности

Отдельный отчет от сообщества указывает на возможный взлом устройства Ledger, купленного в европейской сети MediaMarkt. MediaMarkt является официальным реселлером Ledger на нескольких рынках Европы, включая Германию и Австрию, однако Ledger пока не подтвердила компрометацию этого устройства и не связала его с расследованием по CryptoBilis.

PSA the ledger incident isn't limited to Asia

This is a device purchased in store from an official reseller in Europe (a legitimate device doesn't have any of these cables as can be seen in picture 2)

This even seems to be an old version of the 'spy implant' even though the… pic.twitter.com/bLWrN9aooK

— Johannes (4, 4) (@0xJohannes_) October 11, 2026

Мнения наблюдателей разделились: одни сомневаются, что на опубликованных фото запечатлена оригинальная плата Ledger, другие отмечают, что не могут идентифицировать в нем тот же тип импланта, который был найден в Юго-Восточной Азии.

Владельцам аппаратных кошельков Ledger стоит рассматривать этот инцидент как напоминание о необходимости проверки безопасности, даже если устройство было куплено напрямую или у официального дилера. На данный момент нет доказательств того, что пострадали все устройства Ledger, поэтому пользователям следует сохранять спокойствие и следить за официальными обновлениями.

Никогда не вводите фразу восстановления на веб-сайтах, в приложениях или в чатах поддержки, и не делитесь ею ни с кем, кто выдает себя за сотрудника Ledger. Если на вашем устройстве видны следы физического вскрытия, прекратите его использование и обратитесь в поддержку через официальный сайт. Помните, что стандартная проверка подлинности (genuine check) сама по себе не является гарантией отсутствия аппаратных модификаций.

Пользователи могут следовать официальным инструкциям Ledger для проверки подлинности, но при этом важно обращать внимание на любые внешние признаки вмешательства. Кошельки, приобретенные через сомнительные цепочки поставок, заслуживают особого внимания. Даже владельцам надежных устройств рекомендуется использовать безопасные офлайн-бэкапы, сверять детали транзакций на экране кошелька и проводить тестовые переводы перед отправкой крупных сумм.

Главное — не ждите подтверждения кражи, если у вас есть веские основания полагать, что ваша фраза восстановления была скомпрометирована.