Ukryty implant komórkowy w portfelach Ledger: jak przez odsprzedane portfele sprzętowe wyprowadzono około 93 miliony dolarów
Ledger potwierdziła 10 października 2026 r., że zmanipulowane portfele sprzętowe sprzedane przez południowoazjatyckiego resellera CryptoBilis zawierały nieautoryzowany implant sprzętowy, mający przechwytywać frazy odzyskiwania użytkowników podczas konfiguracji urządzenia. Firma podała to odkrycie przez swoje konto wsparcia. Nie była to wada firmware ani chwyt phishingowy, lecz dodatkowa elektronika wbudowana w oryginalne urządzenia gdzieś na drodze od producenta do kupującego.
Implant za ekranem
Zgodnie z potwierdzeniem Ledger i analizą techniczną opublikowaną przez PhishFort implant znajdował się za ekranem urządzenia i podpiął się pod linie danych wyświetlacza. Taka pozycja pozwalała odczytać wszystko, co pojawiało się na ekranie, w tym 24-słowną frazę odzyskiwania generowaną przy pierwszej konfiguracji. Kompromitacja nie wymagała więc zainfekowanego komputera ani złośliwej aplikacji: sam portfel zapisywał słowa seeda w momencie ich generowania. CoinDesk poinformował 13 października, że Ledger opisała komponent jako szpiegowski chip przesyłający przechwycone klucze przez sieć komórkową. Taki kanał pozaprocesowy nie zależy od komputera ani łącza internetowego ofiary, co utrudniało zauważenie eksfiltracji. Dowody fizyczne się zgadzają: jak relacjonuje Help Net Security, implant znaleziono na tylnej ściance już opróżnionego urządzenia, zbadanego po fakcie. Żadna z opublikowanych analiz nie wskazuje, kto wykonał implant ani w którym ogniwie łańcucha dystrybucji zmodyfikowano urządzenia. Z badań wynika natomiast modyfikacja na tyle mała, by uszła inspekcji wizualnej, i na tyle ostrożna, by nie przeszkadzać w normalnej pracy portfela. To właśnie połączenie minimalnego śladu, pełnej funkcjonalności i ukrytej transmisji sprawia, że implanty sprzętowe tak trudno wykryć po fakcie. Portfel wyglądający na oryginalny, normalny przebieg konfiguracji i komponent za ekranem kopiujący frazę seed w momencie jej pojawienia - taki jest profil tego incydentu.
Skala strat
Firma analityki blockchain Bitquery oszacowała 11 października, że podejrzewane straty sięgają 93,2 mln dolarów na 315 portfelach w sześciu sieciach, z czego około 70,5 mln dolarów na TRON. Liczby te pochodzą z analizy on-chain Bitquery i pozostają niepotwierdzone przez Ledger, więc trzeba je czytać jako szacunki analityków, a nie kwoty zweryfikowane przez firmę. Analitycy śledzili kradzione środki przepływające przez Tornado Cash w dniach po ujawnieniu kradzieży; według podsumowania opublikowanego przez Tarnkappe na 11 października on-chain było jeszcze śledzonych około 81 mln dolarów. Po odpływie środków nastąpiły dwa kroki powstrzymujące: Tether zamroził około 10 mln USDT powiązanych z kradzieżą, a około 5,35 mln USDC oznaczono do zamrożenia. CryptoBilis zatrzymuje cały asortyment sprzętowy
CryptoBilis, reseller, przez którego zmanipulowane urządzenia trafiły do klientów w Indonezji, Malezji i na Filipinach, po wyjściu sprawy na jaw wstrzymał sprzedaż całego asortymentu portfeli sprzętowych. Potwierdzenie Ledger wiąże zmanipulowane urządzenia ze stanem magazynowym sprzedawanym właśnie przez tego resellera. Ta sprawa pokazuje, dlaczego punkt sprzedaży znaczy tyle co producent. Oryginalne urządzenie, które przechodzi przez nieautoryzowanego pośrednika, można otworzyć, zmodyfikować i ponownie zaplombować sprzętem niewidocznym z zewnątrz, a zaplombowane opakowanie daje mało gwarancji, bo ponownie sklejone pudełko trudno odróżnić od fabrycznie zaplombowanego. Kupując w obcych sklepach, na marketplace'ach lub u resellerów, dziedziczysz integralność, którą ci pośrednicy utrzymują - albo jej brak. Co to znaczy dla zaufania do sprzętowego łańcucha dostaw
Portfele sprzętowe opierają się na prostym założeniu: urządzenie w twoich rękach robi dokładnie to, co mówi firmware, i nic więcej. Fizyczna manipulacja łamie to założenie na warstwie, do której żadne skanowanie oprogramowania nie sięga. Implant w tym incydencie nie zmieniał ani wyglądu, ani zachowania portfela; użytkownicy widzieli normalny ekran i normalny przebieg konfiguracji, podczas gdy komponent za wyświetlaczem kopiował frazę seed i po cichu ją wysyłał. Praktyczne wnioski są prozaiczne. Kupuj portfele sprzętowe bezpośrednio u producenta lub u autoryzowanego dystrybutora. Każde urządzenie, które przychodzi prekonfigurowane - z wydrukowaną frazą odzyskiwania albo z ustawionym z góry PIN-em - traktuj jako skompromitowane i wyrzuć. Zainicjuj urządzenie samodzielnie, wygeneruj świeżą frazę odzyskiwania i sprawdzaj autentyczność oprogramowania, którego z niego używasz: ta sama dyscyplina, którą opisuje nasz tekst o prawidłowym weryfikowaniu pobrań, dotyczy narzędzi portfelowych tak samo jak wszystkiego innego pobieranego przez Tor. Kto kupił Ledgera przez CryptoBilis, ten powinien przyjąć robocze założenie, że fraza odzyskiwania została przechwycona. Środki trzeba przenieść do portfela zainicjowanego na zweryfikowanym urządzeniu, a stary seed uznać za spalony. Zasada sięga dalej niż ten incydent: fraza odzyskiwania powinna istnieć w dokładnie jednym miejscu, być generowana przez właściciela, nigdy nie być drukowana z góry i nigdy nie być używana ponownie.
