Подделанные Ledger стоили жителям Сингапура $2.7 миллиона

Полиция Сингапура подтвердила, что как минимум два случая с подделанными аппаратными кошельками, включая модель Ledger Flex, были зафиксированы ещё 10 сентября - почти за месяц до того, как об инциденте узнал весь крипторынок. Совокупные потери пострадавших оценивают примерно в 3,5 миллиона сингапурских долларов, или около $2.7 миллиона по текущему курсу.

Что именно обнаружила полиция Сингапура

В опубликованном в среду предупреждении Сингапурская полиция (SPF) сообщила, что предварительное расследование выявило вредоносные аппаратные компоненты внутри устройств Ledger, купленных в некоторых розничных магазинах страны. Проще говоря, кто-то физически вмешивался в начинку кошельков ещё до того, как они попадали на полку магазина или в руки покупателя.

Это уточнение добавило к уже известной истории не только конкретную сумму ущерба, но и новую хронологию. Публично об инциденте заговорили только 9 октября, после сообщений о потерях у пользователей, купивших устройства через CryptoBilis - официального реселлера Ledger в Индонезии, Малайзии и на Филиппинах. Получается, что сингапурские жертвы столкнулись с проблемой почти на месяц раньше остального региона, но информация всплыла только сейчас.

История с Ledger Flex и бывшим главой Mt. Gox

Самый резонансный эпизод этой истории связан с именем Марком Карпелесом, бывшим генеральным директором печально известной биржи Mt. Gox. Он заявил, что купленный в аэропорту Сингапура Ledger Flex содержал шпионский имплант. Для человека, который сам пережил один из крупнейших крахов в истории криптоиндустрии, подобная находка выглядит почти символично - даже руководитель биржи, потерявшей сотни тысяч биткоинов, не застрахован от подделанного оборудования.

Ledger's early implant warnings deserved more action, Karpelès says

Параллельно ещё один пользователь рассказал, что купил скомпрометированное устройство у локального ритейлера электроники Challenger. По его словам, Ledger впоследствии прислал ему новый кошелек взамен подозрительного. Ситуация с Ledger Flex оказалась не единичным случаем, а частью более широкой схемы, которая затронула несколько стран Юго-Восточной Азии одновременно.

Холодный кошелек это защита, но не от всего

Для тех, кто не слишком глубоко погружён в тему, стоит напомнить, почему вообще аппаратные устройства вроде Ledger Flex считаются надёжнее обычных приложений. Холодный кошелек это устройство или носитель, который хранит приватные ключи офлайн, без постоянного подключения к интернету. В отличие от горячего, кастодиального кошелька это решение, где ключи физически остаются у пользователя, а не у биржи или третьей стороны.

Именно поэтому холодный кошелек для криптовалюты обычно рекомендуют тем, кто держит крупные суммы на длительный срок. Но сингапурская история наглядно показывает слабое место всей этой логики. Даже самый защищённый биткоин кошелек бесполезен, если вредоносный компонент встроили в устройство ещё до покупки. Сравнение trezor ledger в этом смысле становится не таким уж принципиальным - проблема не в бренде, а в цепочке поставок, через которую устройство попадает к конечному пользователю.

Некоторые эксперты в таких ситуациях советуют вернуться к совсем примитивным методам, вроде бумажного кошелька биткоин, где ключи просто записаны на физическом носителе без электроники вообще. У этого подхода свои риски - потерять бумажку так же легко, как и скомпрометировать чип, - но он хотя бы исключает атаки через подделанную прошивку.

Реакция Ledger и приостановка продаж

13 октября компания Ledger сообщила, что попросила ритейлеров в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, в Малайзии и Гонконге приостановить продажи устройств до завершения расследования. Это довольно жёсткий шаг для компании, чей блокчейн кошелек считается одним из самых популярных решений на рынке - любой кошелек криптовалюты от Ledger используется миллионами людей по всему миру, и репутационный удар такого масштаба может серьёзно сказаться на доверии к бренду.

Сингапурская полиция подтвердила, что находится в контакте с Ledger, которая сейчас проверяет все затронутые случаи, пока следствие продолжается параллельно. Пока неясно, сколько именно устройств было скомпрометировано и на каком этапе логистической цепочки это произошло - на производстве, при транспортировке или уже в самих магазинах.

Что это значит для обычного пользователя

История с Ledger Flex в очередной раз напоминает, что безопасность крипто-активов - это не только про выбор правильного устройства, но и про то, где и как его покупать. Эксперты рекомендуют приобретать аппаратные кошельки только напрямую у производителя или у официально подтверждённых продавцов, а не в случайных магазинах электроники или дьюти-фри аэропортов.

Стоит также проверять совместимость устройства перед покупкой - например, работает ли оно стабильно под Ledger Linux или интегрируется ли с привычными интерфейсами вроде MetaMask Ledger, поскольку официальные обновления прошивки и проверка подлинности устройства через фирменное приложение остаются одним из немногих способов убедиться, что в руках у вас не скомпрометированный гаджет. Если вы только планируете холодный кошелек купить, лучше потратить лишние полчаса на проверку продавца, чем потом разбираться с полицией, как это сейчас приходится делать пострадавшим в Сингапуре.

Параллельно с этим инцидентом на рынке продолжают обсуждать и другие истории про хранение цифровых активов - от того, как SEC задумалась о новых правилах хранения крипты для фондов, до случаев, когда компании сами застревают с собственными резервами, как это произошло с Datavault AI и её биткоином на бирже. А тем временем интерес к биткоину как к залоговому активу растёт и в более традиционных сферах - например, в Канаде уже обсуждают ипотеку под залог биткоина без его продажи.

Автор

Barbados