Ledger: имплант в кошельках CryptoBilis распознавал 24 слова сид-фразы и передавал их по LTE; украдено более $93 млн

Компания Ledger подтвердила, что в как минимум одном устройстве, связанном с потерями криптовалюты у реселлера CryptoBilis, обнаружена несанкционированная аппаратная закладка (unauthorized hardware implant). Об этом сообщила сама Ledger.

По оценке аналитической компании Bitquery, из 315 криптокошельков на шести блокчейнах выведено $93,2 млн ≈ 280 млн BYN. Средства предположительно принадлежали пользователям Ledger, купившим устройства у реселлера CryptoBilis в Юго-Восточной Азии. Ранее по оценке Incrypted речь шла о более $86 млн ≈ 259 млн BYN, 311 кошельках и пяти блокчейнах. Ledger заявила, что уже связалась с пострадавшими пользователями и сотрудничает с правоохранительными органами. Компания также потребовала от CryptoBilis приостановить продажу всех имеющихся на складе аппаратных кошельков на время расследования, а не только продукции бренда Ledger.

Tether заморозил $10 млн ≈ 30,1 млн BYN в USDT, связанных с этой кражей. Заморозку подтвердила Bitquery. Сам Tether на запрос о комментарии не ответил. Остановить удалось лишь малую долю выведенного — по оценке Bitquery, на 11 октября в блокчейне ещё можно было отследить около $81 млн ≈ 244 млн BYN, часть средств уже прошла через миксер Tornado Cash и Zcash. Сама Ledger общую сумму потерь пока не подтвердила.

CryptoBilis — реселлер из Юго-Восточной Азии. По данным Ledger, речь идёт об устройстве, проданном через этого продавца.

Ledger объяснила, как именно работала закладка. По итогам анализа команды безопасности Donjon, имплант — это отдельный компонент внутри корпуса кошелька, который считывал данные с экрана. При первоначальной настройке устройство показывает 24 слова сид-фразы, из которых восстанавливается доступ к кошельку. Когда имплант распознавал эти экраны, его микроконтроллер декодировал слова и передавал их мошенникам по LTE через заранее подготовленную eSIM. Защищённый чип (Secure Element), операционную систему Ledger, транзакции и подписи имплант не затрагивал — достаточно было перехватить информацию с экрана.

Закладка обнаружена и в устройствах, проданных в Европе, а не только в Азии, сообщил CryptoDaily. Имплант перехватывает seed-фразу — набор слов, из которого восстанавливается доступ к кошельку.

Incrypted сообщил ещё об одном аппаратном кошельке Ledger с посторонним модулем — на этот раз в Европе. Покупал ли пострадавший устройство у реселлера CryptoBilis, не уточняется. В сети предположили, что найденный модуль — ранняя версия шпионского импланта. Ledger этот случай пока не подтвердила.

Все подтверждённые потери связаны только с CryptoBilis. Один из пользователей заявил, что нашёл такие же модули в двух кошельках из магазинов MediaMarkt в Европе, сообщил BeInCrypto.

Аналитик под ником Darkfost опубликовал список из 24 магазинов Ledger в Азии и Европе, где могут продаваться вскрытые кошельки, сообщил BeInCrypto. Ledger подтвердила проблему только у малазийского реселлера CryptoBilis. Об ещё одном случае в немецкой сети MediaMarkt заявил пользователь X. Остальные магазины попали в список только потому, что могут получать товар по тем же каналам. Аналитик упрекнул Ledger в том, что пользователи в X рассказывают о рисках больше, чем сам производитель.

В X пользователи описывают потери. Один после более чем четырёх лет бездействия перевёл средства на новый кошелёк и через месяц лишился 59 ETH — около $147 тыс. ≈ 442 тыс. BYN Другой купил Ledger у реселлера и перевёл на него 80 BTC ($5,2 млн ≈ 15,6 млн BYN), потеряв и эти средства, и прибыль в $1,5 млн. Независимого подтверждения этих случаев нет.

Компания заявила, что подтверждённых случаев немного и что её внутренние системы не затронуты. Из этого следует, что брешь возникла на этапе физической логистики или на стороне реселлера, а не в результате взлома бэкенда Ledger.

Число пострадавших пользователей и общую сумму потерь Ledger не подтвердила: по её словам, цифры, ходящие в сети, получены от третьих сторон и компанией полностью не проверены. Ledger также сообщила, что рассматривает сообщения об имплантах в других устройствах и других регионах. Владельцам купленных у CryptoBilis кошельков, которые их ещё не настроили, компания советует не включать устройство и обратиться в поддержку; тем, кто уже настроил, — перевести средства на новый кошелёк с новой сид-фразой. Компания напомнила, что не звонит пользователям и не запрашивает 24 слова восстановления.

На фоне истории с Ledger создатель модели Stock-to-Flow PlanB заявил, что не жалеет о переводе биткоинов в биржевые фонды (ETF) в 2025 году, за который получил волну критики. По его словам, нисколько не жалеет, хотя криптаны с ним во многом не согласны.

Владельцам аппаратных кошельков, купленных у сторонних продавцов, стоит проверить устройство и адреса на предмет подозрительной активности.