Скрытый сотовый имплант в кошельках Ledger: как через перепроданные аппаратные кошельки вывели примерно 93 миллиона долларов
10 октября 2026 года Ledger подтвердила, что в аппаратных кошельках, проданных через юго-восточноазиатского реселлера CryptoBilis, находился несанкционированный аппаратный имплант, перехватывавший фразы восстановления пользователей при настройке устройства. Компания сообщила об этой находке через свой аккаунт поддержки. Речь шла не об уязвимости прошивки и не о фишинговой уловке, а о дополнительной электронике, вмонтированной в подлинные устройства где-то на пути от производителя к покупателю.
Имплант за экраном
Согласно подтверждению Ledger и техническому анализу PhishFort, имплант располагался за экраном устройства и подключался к линиям передачи данных дисплея. Такое положение позволяло считывать всё, что появлялось на экране, включая фразу восстановления из 24 слов, генерируемую при первичной настройке. То есть для компрометации не требовались заражённый компьютер или вредоносное приложение: сам кошелёк записывал слова сид-фразы в момент их создания. Как сообщило CoinDesk 13 октября, Ledger описала компонент как шпионский чип, передававший перехваченные ключи через мобильную сеть. Такой внеполосный канал не зависит ни от компьютера жертвы, ни от её интернет-соединения, что делало вывоз данных малозаметным. Физические улики это подтверждают: как сообщает Help Net Security, имплант был обнаружен на обратной стороне уже опустошённого устройства при последующем осмотре. Ни один из опубликованных анализов не называет, кто изготовил имплант и на каком участке цепочки поставок устройства были изменены. Что показывают исследования, так это модификацию, достаточно незаметную, чтобы ускользнуть от визуального осмотра, и достаточно аккуратную, чтобы не мешать нормальной работе кошелька. Именно это сочетание - минимальный след, полная функциональность, скрытая передача - делает аппаратные импланты такими трудными для обнаружения задним числом. Внешне подлинный кошелёк, обычный процесс настройки и компонент за экраном, копирующий сид-фразу в момент её появления, - вот как выглядит этот инцидент.
Масштаб потерь
Блокчейн-аналитическая фирма Bitquery 11 октября оценила предполагаемые потери в 93,2 млн долларов на 315 кошельках в шести сетях, из которых около 70,5 млн долларов приходится на TRON. Эти цифры получены из on-chain-анализа Bitquery и остаются неподтверждёнными Ledger, поэтому их следует читать как аналитические оценки, а не как проверенные компанией итоги. Аналитики отследили движение украденных средств через Tornado Cash в дни после раскрытия кражи; по сводке Tarnkappe, на 11 октября on-chain оставалось отслеживаемым около 81 млн долларов. За оттоком последовали две меры сдерживания: Tether заморозил примерно 10 млн USDT, связанных с кражей, а около 5,35 млн USDC определены к заморозке. CryptoBilis останавливает продажи всего «железа»
CryptoBilis - реселлер, через которого изменённые устройства попали к покупателям в Индонезии, Малайзии и на Филиппинах, - после раскрытия проблемы остановил продажи всего ассортимента аппаратных кошельков. Подтверждение Ledger привязывает изменённые устройства к товару, проданному именно через этого реселлера. Этот случай показывает, почему место покупки значит не меньше, чем производитель. Подлинное устройство, прошедшее через несанкционированного посредника, можно вскрыть, изменить и заново запечатать - с электроникой, невидимой снаружи. Запечатанная упаковка тоже мало что гарантирует: заново заклеенную коробку трудно отличить от заводской. Покупая в сторонних магазинах, на маркетплейсах или у реселлеров, вы наследуете ту целостность, которую эти посредники поддерживают, - или её отсутствие. Что это значит для доверия к аппаратной цепочке поставок
Аппаратные кошельки держатся на простом допущении: устройство в ваших руках делает ровно то, что говорит прошивка, и ничего больше. Физическое вмешательство ломает это допущение на уровне, недостижимом ни для какого программного сканирования. Имплант в этом инциденте не менял ни вид, ни поведение кошелька; пользователи видели обычный экран и обычный процесс настройки, пока компонент за дисплеем копировал сид-фразу и тихо передавал её. Практические уроки прозаичны. Покупайте аппаратные кошельки напрямую у производителя или у авторизованного дистрибьютора. Любое устройство, пришедшее преднастроенным - с распечатанной фразой восстановления или заранее заданным PIN, - считайте скомпрометированным и выбрасывайте. Инициализируйте устройство сами, сгенерируйте свежую фразу восстановления и проверяйте подлинность программного обеспечения, которое с ним используете: та же дисциплина, что описана в нашем материале о правильной проверке загрузок, касается кошельковых инструментов ничуть не меньше, чем всего остального, что скачивается через Tor. Для тех, кто купил Ledger через CryptoBilis, рабочее допущение должно быть таким: фраза восстановления перехвачена. Средства следует перевести в кошелёк, инициализированный на проверенном устройстве, а старую сид-фразу считать сожжённой. Принцип шире этого инцидента: фраза восстановления должна существовать ровно в одном месте, создаваться владельцем, никогда не быть напечатанной заранее и никогда не использоваться повторно.
