Ledger потребовал убрать аппаратные криптокошельки с полок и приостановить продажи в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, Малайзии и Гонконге. Причина — атака на поставки Ledger: в части устройств обнаружили скрытый модуль, который перехватывал 24-словную seed-фразу и передавал её злоумышленникам по LTE. Для пользователей из России и русскоязычных команд, покупающих устройства через маркетплейсы и параллельный импорт, это неприятное напоминание: проверка упаковки не всегда равна проверке железа.
Расследование началось 9 октября после сообщений о потерях криптоактивов у нескольких владельцев. По данным BleepingComputer, все подтверждённые Ledger случаи связаны с устройствами, проданными реселлером CryptoBilis в Юго-Восточной Азии. Однако пользователи сообщили и о подозрительных кошельках, купленных у других продавцов в Азии и Европе, поэтому компания расширила меры с одного поставщика на целый регион.
Ledger выпускает физические кошельки для хранения приватных ключей и подтверждения операций с цифровыми активами. В нормальной модели владелец записывает seed-фразу при первоначальной настройке или восстановлении кошелька и никому её не передаёт. Тот, кто получает эти 24 слова, фактически получает возможность восстановить доступ к активам на другом устройстве. Поэтому компрометация seed-фразы опаснее большинства фишинговых писем: пользователь может считать, что действует в доверенной среде, пока средства уже доступны третьей стороне.
Подразделение Ledger Donjon описало найденную конструкцию как отдельный аппаратный имплант. Его микроконтроллер распознаёт и декодирует фразу восстановления, а затем отправляет данные через LTE, используя заранее активированную eSIM. Существенная деталь в том, что модуль не меняет Secure Element, операционную систему Ledger, транзакции или подписи. Из-за этого штатные механизмы самопроверки целостности устройства не видят подмену: они контролируют ожидаемые компоненты, а не обязательно обнаруживают дополнительную электронику внутри корпуса.
Именно здесь атака на поставки Ledger выходит за пределы одного криптобренда. Защищённый чип и корректно подписанная прошивка не спасают, если устройство перехватили между заводом и покупателем и встроили независимый канал утечки. Это классический риск цепочки поставок, только вместо заражённой библиотеки или обновления ПО атакующий работает паяльником, модемом и логистикой. Для бизнеса, который закупает аппаратные токены, HSM, сетевое оборудование или устройства для сотрудников через посредников, логика та же: доверять приходится не только вендору, но и каждому участнику доставки и хранения.
Ledger утверждает, что её инфраструктура, сервисы и прямой канал продаж остаются безопасными. Но граница здесь важна: заявление касается систем компании и покупок у самого производителя, а не гарантирует безопасность каждого устройства, прошедшего через стороннюю розницу. В Сингапуре пользователи указывали на покупки у технологического ритейлера Metapod в аэропорту. В Европе сообщения затронули MediaMarkt; ритейлер получил устройства через дистрибьютора Aqipa GmbH и уже снял товар с продажи после жалоб.
Практический вывод для владельцев аппаратных кошельков не сводится к совету «не вводить seed-фразу в браузере». В этом случае риск возникал во время штатного создания или восстановления кошелька. Если устройство куплено через неавторизованный, малоизвестный или непрозрачно работающий канал, безопаснее не использовать его для генерации новой фразы восстановления и не восстанавливать на нём существующий кошелёк. Компаниям с крипторезервами и платежными сценариями стоит документировать происхождение устройств, хранение на складе, передачу между сотрудниками и процедуру первичной активации. Это скучная операционная дисциплина, которая внезапно оказывается важнее красивой пломбы на коробке.
Рынок уже отреагировал. Конкурирующий производитель Trezor сообщил о планах сократить сеть реселлеров, хотя признаков компрометации его устройств не обнаружил. Партнёрства с затронутыми продавцами прекратятся 1 января 2027 года: Trezor намерен усилить требования к тому, как устройства закупают, хранят и обрабатывают. Это не признание аналогичного инцидента, а попытка уменьшить число плохо контролируемых участков между производством и владельцем.
Следующий вопрос для отрасли — смогут ли производители аппаратной безопасности доказуемо контролировать не только код и криптографию, но и физический путь товара до клиента. Атака на поставки Ledger показывает неудобную вещь: даже корректно работающий Secure Element не отменяет необходимости проверять канал приобретения. Чем дороже активы, которые защищает устройство, тем менее разумной выглядит экономия на официальном продавце и прозрачной логистике.