BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Холодный кошелек Ledger снова оказался в центре крупного скандала, и на этот раз проблема не в самой компании, а в одном из её официальных партнёров. Производитель аппаратных кошельков заявил, что расследует сообщения о массовой потере средств среди пользователей из Юго-Восточной Азии, которые покупали устройства у реселлера CryptoBilis. По разным оценкам ончейн-аналитиков, суммарные потери уже превысили $86 млн, а некоторые исследователи говорят о цифре, приближающейся к $90 млн.
Что случилось с покупателями CryptoBilis
CryptoBilis числится официальным реселлером Ledger в Индонезии, Малайзии и на Филиппинах. Именно через эту компанию десятки, а возможно и сотни пользователей приобретали устройства, которые должны были надёжно хранить их криптовалюту офлайн. Вместо этого в последние дни на X и Reddit стали массово появляться жалобы на опустевшие кошельки. Ledger заявила, что расследует сообщения о потере средств пользователями из Юго-Восточной Азии, которые приобрели продукцию у реселлера CryptoBilis, и один из ончейн-исследователей оценил предполагаемую кражу в более чем $86 млн.
Компания не стала дожидаться результатов полного расследования и сразу приняла меры. Ledger заявила, что попросила CryptoBilis приостановить все продажи и отгрузки на время расследования. В официальном сообщении для пользователей компания была предельно конкретна:
Мы рекомендуем пользователям Ledger, которые приобрели устройства у этого реселлера за последние 90 дней, не инициализировать их, если вы ещё этого не сделали. Если устройство уже настроено, рассмотрите перенос активов на новый сигнер Ledger с новой seed-фразой.
Холодный кошелек Ledger: что это и почему он должен был защитить от потерь
Для тех, кто не в теме крипто-безопасности, стоит напомнить, что холодный кошелек это устройство, которое хранит приватные ключи офлайн, без доступа к интернету, и теоретически должно быть неуязвимо для удалённых атак. Аппаратный кошелек - это небольшое устройство, которое хранит секретные ключи от криптовалюты человека офлайн. Именно на этом принципе построена вся репутация Ledger как производителя, и именно поэтому любой крипто кошелек этого бренда считается одним из самых надёжных на рынке.
Проблема в том, что холодный кошелек защищает от онлайн-угроз, но плохо справляется с угрозами внутри цепочки поставок. Устройство, скомпрометированное до того, как оно попало к покупателю, например отправленное с seed-фразой, которую злоумышленник уже знает, может оставить средства без защиты. Пользователи часто выбирают между брендами, сравнивая форумы и обзоры типа Trezor Ledger, но мало кто задумывается, что угроза может прийти не от самого производителя, а от посредника в цепочке продаж. Даже популярная модель Ledger Nano X не защитит владельца, если устройство было вскрыто и модифицировано ещё до того, как попало в розницу.
Цифры расходятся: от $72 до почти $90 миллионов
Точная сумма потерь до сих пор не подтверждена официально, и разные аналитики дают разные оценки. Ончейн-исследователь tanuki42 сообщил, что более $72 млн было переведено на группу подозрительных адресов, связанных с кражей. Позже другой аналитик дал более тревожную оценку. Исследователь Specter впоследствии оценил потери в более чем $86 млн после отслеживания средств, отправленных на адреса в сетях Bitcoin, Ethereum и Tron.
Есть и третья оценка, ещё более пугающая. По данным сервиса MistTrack, сумма может приближаться к $90 млн. При этом даже сам Specter позже скорректировал часть своих выводов: он сначала говорил, что средства пришли от сотен скомпрометированных кошельков, но позже уточнил, что точное число затронутых кошельков пока не известно. Детализация по монетам тоже впечатляет. Отслеженные активы включают около $42 млн в Ether, $17,6 млн в Bitcoin и $16,5 млн в Tether. Основатель Binance Чанпэн Чжао, более известный как CZ, также высказался по поводу инцидента. Он описал произошедшее как предполагаемую локализованную атаку на цепочку поставок, а не как подтверждённую уязвимость всей линейки Ledger.
Что советует Ledger и как проверить свой холодный кошелек
Самое важное, что подчеркнула сама компания, это отсутствие признаков взлома основной инфраструктуры. Нет доказательств того, что была скомпрометирована основная инфраструктура Ledger. Под угрозой находятся именно устройства, прошедшие через конкретного реселлера, а не вся линейка продукции в целом.
Практический совет простой. Если вы покупали устройство не через ledger официальный сайт, а через стороннего продавца, особенно в Юго-Восточной Азии, стоит проверить дату покупки. Если это было в последние 90 дней и устройство ещё не активировано, его не стоит инициализировать вообще. Если же вы уже прогнали его через приложение, будь то на компьютере под Windows, через Ledger Linux или на устройстве с Ledger Mac Os, безопаснее перенести активы на новый сигнер с совершенно новой seed-фразой. Это касается и тех, кто пользуется связкой MetaMask Ledger для работы с DeFi, и тех, кто хранит токены, купленные через binance ledger интеграции. Старое название приложения, Ledger Manager, уже давно не используется, но суть осталась той же, устройство должно быть единственным хранителем ваших ключей, и если есть малейшее подозрение, что это не так, его лучше не трогать.
Почему это не первый подобный случай с аппаратными кошельками
У Ledger уже была непростая история с инцидентами безопасности, хотя раньше они были заметно меньше по масштабу. В апреле поддельное приложение Ledger Live оставалось доступным около недели и убедило более 50 жертв ввести свои recovery-фразы, что привело к потерям около $9,5 млн в нескольких блокчейнах. А ещё раньше, в декабре 2023 года, была другая история. Атака на библиотеку Connect Kit компании в декабре 2023 года затронула децентрализованные приложения, использующие эту библиотеку, и привела к оценочным потерям от $480 000 до $600 000.
Нынешний инцидент с CryptoBilis на этом фоне выглядит совсем другого масштаба и, если цифры подтвердятся, станет крупнейшим в истории компании. Примечательно, что проблемы с цепочкой поставок аппаратных кошельков в этом году не ограничиваются одним только Ledger. Всего два месяца назад из биткоин-кошельков Coldcard было похищено более $116 млн, и теперь в центре внимания оказался самый известный производитель аппаратных кошельков в мире. Получается, что холодный кошелек биткоин или любой другой монеты остаётся настолько надёжным, насколько надёжна вся цепочка от завода до коробки в руках покупателя, включая посредников, у которых люди привыкли покупать устройства по акции, например во время black friday ledger распродаж.
Что это значит для тех, кто выбирает холодный кошелек для криптовалюты
История с CryptoBilis хороший повод пересмотреть привычки покупки техники для хранения крипты. Лучший холодный кошелек, каким бы надёжным он ни казался по отзывам, не спасёт от кражи, если путь от производителя до покупателя прошёл через ненадёжного посредника. Прежде чем купить холодный кошелек, стоит проверять не только репутацию бренда, но и то, у кого именно вы его заказываете, и совпадает ли продавец со списком официальных партнёров на сайте компании.
Расследование Ledger продолжается, и официальной причины произошедшего компания пока не называет. Параллельно крипто-сообщество уже не первый раз сталкивается с тем, что ответственность за безопасность активов лежит не только на производителе устройства, но и на всей цепочке продаж, что хорошо показала и история с мошенником, который через SIM swap увёл крипту на золото и поездку в Дубай. А тем, кто следит за тем, как крупные игроки реагируют на подобные встряски рынка, может быть интересно, как биткоин одно время рухнул из-за совершенно другого внешнего фактора, нефти и Ирана. Пока же единственный надёжный совет для владельцев устройств Ledger остаётся прежним, проверять источник покупки и не спешить с инициализацией, если есть хоть малейшие сомнения.
