Ledger потребовала от CryptoBilis остановить продажи кошельков после сообщений о краже $86 млн

Служба поддержки Ledger попросила реселлера CryptoBilis приостановить продажи и отгрузки аппаратных кошельков Ledger, пока компания разбирается с сообщениями о пропаже средств у клиентов. Об этом поддержка Ledger сообщила в своём посте. Речь идёт ровно об одном продавце — малайзийском магазине, который торгует криптотоварами с 2020 года и имеет представительства в Индонезии и на Филиппинах.

Ledger не подтвердила сумму потерь и не заявляла, что устройства были взломаны. Предупреждение адресовано только тем, кто купил кошелёк именно у CryptoBilis: им рекомендуют не активировать устройство. Те, кто уже пользуется таким кошельком, по совету компании должны перевести средства на новый кошелёк с новой seed-фразой — резервной фразой из 24 слов, по которой восстанавливается доступ к кошельку.

«В качестве меры предосторожности, пока идёт расследование, мы попросили CryptoBilis приостановить все продажи и отгрузки устройств Ledger», — сообщила служба поддержки Ledger.

Сообщения пользователей появились в социальных сетях в пятницу. Люди писали, что средства ушли из кошельков, хотя, по их словам, устройства не покидали их рук, seed-фразы хранились отдельно, а транзакции на списание они не подписывали. «Из моего кошелька Ledger только что исчезли почти 100 тысяч USDT, — написал один из пользователей на Reddit. — Сед-фраза была написана от руки и хранилась в сейфе. Я никогда не прикасаюсь к своему Ledger Stax. Кошелек Ledger использовался только для хранения средств, и я не выполняю никаких действий, кроме получения средств». Соучредитель и бывший генеральный директор Binance Чанпэн Чжао в X заявил, что, судя по имеющейся информации, речь идёт о локальной атаке на цепочку поставок у одного поставщика, а доказательств общей уязвимости всех устройств Ledger пока нет.

Откуда взялась сумма $86 млн ≈ 263 млн BYN

Оценку суммарных потерь опубликовал ончейн-аналитик под псевдонимом Specter, который исследует открытые данные блокчейнов. По его словам, средства пропали из сотен кошельков на Ethereum, TRON и в биткоине. Он отследил адреса, на которые уходили деньги, и нашёл поступления от более чем сотни кошельков-жертв в нескольких крупных блокчейнах. Итоговый ущерб Specter оценил более чем в $86 млн. Разбивка потерь по его данным — более $42 млн ≈ 129 млн BYN в ETH, $17,5 млн ≈ 53,6 млн BYN в BTC и $16,5 млн ≈ 50,6 млн BYN в USDT.

Три биткоин-адреса, которые назвал Specter, в сумме хранят около 211 BTC. На 13:44 UTC в пятницу эти средства не перемещались. Ledger сумму $86 млн не подтверждает и пока не объяснила, каким именно образом средства были украдены у пользователей.

Причины предполагаемых хищений пока неизвестны. Specter нашёл переводы с сотен адресов в сетях биткоина, Ethereum и TRON на счета злоумышленников; в чём именно состоял механизм атаки, он не раскрыл.

Вторая тревожная история с аппаратными кошельками с августа

Продажа взломанных устройств вне официальных магазинов — известный риск, и такие случаи уже фиксировались. В апреле исследователь обнаружил поддельные Ledger на одной из китайских площадок: устройства отправляли PIN-коды и seed-фразы злоумышленникам.

В августе произошёл другой инцидент — баг в прошивке Coldcard, аппаратного кошелька-конкурента, стоил пользователям биткоина примерно $70 млн ≈ 214 млн BYN.

Ledger пообещала сообщить о ходе расследования. Пока неизвестно, были ли устройства от CryptoBilis модифицированы до того, как попали к покупателям.