Атака на Ledger вывела проблему аппаратных криптокошельков далеко за пределы очередной фишинговой кампании: злоумышленники физически встраивали чипы в оригинальные устройства и похищали seed-фразы при первой настройке. Производитель временно остановил продажи через партнёров в семи странах Юго-Восточной Азии, а оценки ущерба уже превышают $90 млн.
Как сообщает vc.ru, первые сообщения о пропаже средств у владельцев Ledger появились в начале октября 2026 года. На 9 октября анонимный блокчейн-исследователь Specter оценивал общие потери в $86 млн, а аналитики Galaxy — в $91 млн. К 15 октября специалисты Bitquery насчитали вывод $102 млн с 324 кошельков. Сама Ledger пока не подтвердила ни число пострадавших, ни итоговую сумму.
Расследование началось с устройств, купленных у реселлера CryptoBilis в Юго-Восточной Азии. 9 октября Ledger попросила продавца остановить поставки и продажи, а покупателей — не настраивать приобретённые у него кошельки либо перенести с них активы. Уже на следующий день компания заявила, что обнаружила в одном из исследованных устройств посторонний встроенный компонент. Все подтверждённые случаи краж на тот момент были связаны именно с товарами, прошедшими через CryptoBilis.
15 октября Ledger описала схему подробнее. По версии компании, за операцией стояла высокоорганизованная преступная группа, которая месяцами покупала настоящие устройства, дорабатывала их и возвращала в торговый канал через реселлеров. В корпус помещали дополнительный чип: во время первичной настройки он считывал отображаемую на экране фразу восстановления из 24 слов, распознавал её и передавал данные через LTE с использованием eSIM. Для владельца кошелёк при этом мог выглядеть и работать как обычный оригинальный Ledger.
Это важное различие для технической аудитории. Речь не о взломе криптографии устройства и не о компрометации серверов производителя, а об атаке на цепочку поставок. Генеральный директор Ledger Паскаль Готье заявил, что признаков взлома внутренних сервисов и систем компании нет. Однако защита, которая хорошо работает против удалённого злоумышленника, здесь не спасает: seed-фраза оказывается скомпрометирована ещё до того, как пользователь успевает перевести на кошелёк первые активы.
Компания провела контрольные закупки на нескольких рынках, включая Германию, а также проверила образцы со складов. По её данным, изученные экземпляры не содержали следов модификации. Но для дистрибьюторов и авторизованных реселлеров Ledger ввела более жёсткий режим в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, в Малайзии и Гонконге: продажу и поставки там попросили приостановить до завершения проверки.
Одновременно производитель напомнил партнёрам правило, которое теперь звучит не как формальность: возвращённые устройства нельзя снова выставлять на продажу даже в визуально нераспечатанном виде. Кроме того, кошельки запретили держать на витринах. Их следует хранить на складе и передавать покупателю непосредственно в момент продажи. Для обычной электроники это может выглядеть как избыточная перестраховка, но для продукта, где один экран с 24 словами открывает доступ к активам, витринный образец становится частью модели угроз.
Атака на Ledger — неприятный сигнал не только крипторынку. Любой бизнес, продающий устройства с ключами, секретами или доверенными идентификаторами, должен смотреть не только на прошивку, подписи обновлений и безопасность облака. Не менее важны возвраты, складской учёт, правила для партнёров и возможность отследить путь конкретной единицы товара. В этой истории злоумышленники, по словам Ledger, потратили на инфраструктуру и подготовку миллионы — значит, экономику схемы они считали заранее.
Пока расследование идёт вместе с правоохранительными органами и специалистами по безопасности, главный вопрос остаётся практическим: сможет ли отрасль доказуемо отделить новый товар от устройства, которое уже побывало вне контролируемой цепочки поставок. После этой атаки пломба на коробке и статус «авторизованный продавец» перестают быть достаточным аргументом доверия.