BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Компания Ledger попыталась отделить себя от скандала с реселлером CryptoBilis, заявив, что все подтверждённые случаи кражи связаны исключительно с устройствами, проданными через этого юго-восточного азиатского партнёра. Проблема в том, что аналитики блокчейна уже насчитали до $93 миллионов похищенной криптовалюты из сотен кошельков, а критики считают, что Ledger так просто не отмахнётся от ответственности за официального реселлера.
Что известно о масштабе кражи CryptoBilis
Несколько компаний, занимающихся блокчейн-аналитикой, независимо друг от друга попытались оценить ущерб от атаки на пользователей CryptoBilis. Фирма Bitquery сообщила, что проследила $93,2 миллиона, похищенных у 315 кошельков в шести разных блокчейнах, причём большая часть украденного пришлась на USDT и токены TRON. Исследовательская платформа YFarmX насчитала цифру повыше - $94,5 миллиона с 521 адреса в семи сетях. Обе оценки построены на публичных ончейн-данных, а не на официально подтверждённой Ledger сумме потерь, поэтому компания пока не торопится называть точную цифру ущерба от инцидента с CryptoBilis.
Мы уже писали о первых подробностях этой истории, когда стало известно о краже на $93 миллиона, связанной со скандалом вокруг реселлера CryptoBilis, и о том, как расследование разворачивалось дальше в материале про поддельные кошельки, обошедшиеся клиентам в $86 млн.
Ledger nano x и скрытый аппаратный имплант: как это работало
Самое неприятное в этой истории - Ledger подтвердила, что хотя бы в одном пострадавшем устройстве был обнаружен несанкционированный аппаратный имплант. Проще говоря, кто-то физически вмешался в начинку устройства ещё до того, как оно попало к покупателю. Компания не уточнила, был ли скомпрометирован похищенный кошелёк тем же способом и какой именно метод вмешательства применялся в остальных случаях.
Для владельцев популярного Ledger nano x это звучит тревожно само по себе, учитывая, что речь идёт об одной из самых продаваемых моделей аппаратных кошельков на рынке. Ledger официальный сайт компании всегда подчёркивает, что устройства проходят проверку целостности при первой настройке, но история с CryptoBilis показывает, что одной лишь проверки софта бывает недостаточно, если вмешательство происходит на уровне железа ещё до продажи.
$10 млн заморожено: Tether против атакующих
Пока Ledger разбирается с масштабом проблемы, Tether уже начал действовать. Компания заморозила $10 миллионов в USDT, которые удалось связать с кражей у пользователей CryptoBilis. Это важный момент, потому что стейблкоины вроде USDT дают эмитенту техническую возможность блокировать токены, замешанные в преступлении, чего не скажешь о биткоине или эфире - там заморозить средства просто нельзя.
По данным Bitquery, по состоянию на 11 октября около $81 миллиона всё ещё можно было отследить в блокчейне, хотя часть средств уже успела пройти через миксер Tornado Cash и приватную сеть Zcash, что заметно усложняет дальнейшее отслеживание. Tether на запрос о комментарии по поводу заморозки не ответил.
Это инцидент CryptoBilis, а не Ledger - агентство настаивает на своём
Попытка Ledger представить происходящее как изолированную проблему конкретного реселлера вызвала заметное раздражение в сообществе. Дело в том, что CryptoBilis был указан на сайте Ledger как авторизованный продавец, а значит формально пользователи покупали устройства через официальный канал сбыта компании.
Это не инцидент CryptoBilis, это инцидент Ledger. Хотя бы возьмите на себя ответственность за этот бардак.
Так написал пользователь X с ником MyCryptoParadise, и его мнение разделяют многие держатели кошельков. Логика простая - если компания сертифицирует продавца и ставит его в список доверенных партнёров на официальном сайте, то проблемы с цепочкой поставок этого партнёра становятся проблемой самой Ledger, а не просто "чужой бизнес, чужая ответственность". Подробнее о том, почему холодный кошелёк Ledger не спас покупателей от потерь, мы разбирали в отдельном материале о скандале вокруг CryptoBilis и утечке на $86 миллионов.
Важно отличать нынешнюю историю от апрельской фишинговой кампании с поддельным приложением Ledger Live в Apple App Store, которая вывела тогда не менее $9,5 миллиона после того, как пользователи сами вводили свои сид-фразы в фальшивое приложение. В случае с CryptoBilis атакующий, судя по всему, получил ключи напрямую, без участия жертвы, что делает эту схему куда опаснее для обычного пользователя.
Ledger manager, Ledger Live и риски для пользователей разных систем
Отдельный вопрос - насколько безопасна связка аппаратного кошелька с программным обеспечением на разных платформах. Ledger linux и Ledger mac os пользователи традиционно жалуются на не самую стабильную работу приложения Ledger manager при первой настройке устройства, и в свете истории с имплантами это уже не просто неудобство, а повод лишний раз перепроверить целостность прошивки перед подключением кошелька к компьютеру. Та же осторожность касается связки metamask ledger - перед тем как подключать аппаратный кошелёк к MetaMask, стоит убедиться, что устройство куплено не через сомнительный канал и прошло официальную инициализацию через Ledger Live.
Как обезопасить себя при покупке аппаратного кошелька
История с CryptoBilis - хороший повод вспомнить базовые правила покупки аппаратных кошельков. Устройства, купленные на маркетплейсах вроде Avito, OLX, Ozon или в оффлайн-магазинах электроники вроде DNS, несут дополнительный риск именно потому, что цепочка поставки от производителя до покупателя остаётся непрозрачной. Ledger nano s avito или Ledger nano s olx звучат как выгодное предложение, но гарантии оригинальности там почти никакой.
- Покупайте устройство только у производителя или проверенных дилеров, избегая случайных объявлений вроде "Ledger nano s dns" или "Ledger nano s ozon" без официального подтверждения продавца.
- Проверяйте оригинальную упаковку - Ledger nano s original всегда поставляется с защитными пломбами, а не просто в красивой коробке.
- Не доверяйте слишком заманчивым предложениям и скидочным пакам вроде "Ledger nano s pack" или "Ledger nano s promo" от неизвестных продавцов - именно так жертвы CryptoBilis и попались.
- Обращайте внимание, что цвет устройства, будь то классический серебристый или Ledger nano s black, никак не гарантирует подлинность - проверка начинается не с внешнего вида, а с серийного номера и проверки целостности прошивки.
- Используйте связку Ledger nano s ledger live для генерации новой сид-фразы, а не ту, что уже была записана на бумажке в коробке.
Если же сравнивать Ledger с конкурентами, вопрос trezor ledger всплывает регулярно - у обоих производителей были свои инциденты с безопасностью, но история с CryptoBilis выделяется именно масштабом и тем, что вмешательство произошло ещё до того, как устройство попало к покупателю.
Что делать владельцам устройств, купленных через CryptoBilis
Ledger дала чёткую рекомендацию - не настраивать неиспользованные устройства, купленные через CryptoBilis, вообще. Если же кошелёк уже был введён в эксплуатацию, компания советует немедленно перевести все активы на новое устройство с заново сгенерированной сид-фразой, а не просто сменить пароль или обновить прошивку через Ledger manager. Старое устройство в этом случае нужно считать потенциально скомпрометированным навсегда, независимо от того, подключалось ли оно к Linux, Mac OS или использовалось с Ledger nano s metamask интеграцией.
Расследование вокруг CryptoBilis продолжается, Ledger пока не ответила на запрос редакции CoinDesk о подтверждении точной суммы украденного и о возможной программе компенсации пострадавшим пользователям. Пока же единственный надёжный совет - относиться к любому аппаратному кошельку, прошедшему через непроверенного посредника, как к потенциально заражённому устройству, даже если на коробке стоит официальный логотип Ledger.
