BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
История с Ledger Nano X, в которых нашли шпионский имплант, ворующий сид-фразы прямо с экрана, неожиданно аукнулась конкуренту. Компания Trezor объявила, что урезает сеть авторизованных реселлеров, и сделала это буквально через несколько дней после того, как Ledger подтвердила факт компрометации устройств, проданных через стороннего продавца.
Что на самом деле нашли в Ledger Nano X
Команда безопасности Ledger Donjon обнаружила, что часть устройств, которые продавал реселлер CryptoBilis из Юго-Восточной Азии, содержала посторонний компонент. Он считывал информацию прямо с экрана и, как только на нём появлялась 24-словная фраза восстановления, распознавал и запоминал её. Дальше включалась встроенная eSIM-карта, и имплант отправлял украденные слова через обычную мобильную сеть LTE, ту же, которой пользуется любой смартфон.
Самое неприятное в этой схеме то, что чип не трогал ни основную микросхему, где хранятся ключи, ни операционную систему устройства. Внешне и по поведению скомпрометированный Ledger Nano X работал абсолютно нормально, так что заподозрить подвох без вскрытия корпуса было практически невозможно. Ончейн-исследователь под ником Specter проследил цепочку транзакций и насчитал более 86 миллионов долларов подозрительных хищений, хотя сама Ledger пока не подтвердила эту цифру официально.
Подробнее о том, как устроен этот шпионский чип и кого он затронул, мы уже писали в материале о том, как кошельки Ledger Nano X сливали seed-фразы по LTE. А позже Ledger официально назвала виновника всей истории - им оказался не производитель, а именно реселлер CryptoBilis, подробности есть в разборе расследования кражи 87 миллионов долларов.
Холодный кошелек это не гарантия безопасности, если его купили не там
Напомним на всякий случай: холодный кошелек это устройство, которое хранит приватные ключи от крипты офлайн, вне доступа для злоумышленников из интернета. При настройке генерируется фраза восстановления из 24 слов, которая работает как мастер-пароль. Тот, у кого есть эти слова, может опустошить блокчейн кошелек из любой точки мира, даже не прикасаясь к самому устройству.
Это принципиально отличает такие устройства от горячих и особенно от кастодиальных решений. Кастодиальный кошелек это хранилище, где приватные ключи находятся не у вас, а у биржи или сервиса, и в этом смысле холодный кошелек для криптовалюты изначально выглядит надёжнее. Но вся эта надёжность разом обнуляется, если кошелек криптовалюты физически подменили ещё до того, как он попал к вам в руки.
Trezor режет сеть реселлеров с запасом на будущее
Во вторник Trezor объявила в соцсети X, что авторизация части партнёров-продавцов прекращается с 1 января 2027 года. Компания подчёркивает, что никаких доказательств компрометации собственных устройств нет, и называет это превентивной мерой.
Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with.
Директор по коммерции Trezor Дэнни Сандерс опубликовал письмо, которое компания разослала отсекаемым партнёрам.
If you are receiving this letter, your authorization ends on 1 January 2027. On that date we will remove you from our list of authorized Trezor resellers. I am sorry. This decision says nothing about your effort or the way you represented us.
Сандерс добавил, что это защитная мера для цепочки поставок и клиентов, и что решение может быть пересмотрено, если ситуация изменится. Затронутые продавцы новых партий уже не получат, но смогут распродать имеющиеся запасы вплоть до Чёрной пятницы и праздничного сезона. Сколько именно реселлеров попало под сокращение, компания не раскрывает, но говорит, что пересматривала список по каждой стране отдельно, сопоставляя выручку и охват с собственным присутствием там.
Любопытно, что CryptoBilis, из-за которого весь сыр-бор и начался, к сети Trezor вообще не относился. Компания уже заявляла, что этот продавец не входил в список её авторизованных партнёров и что жалоб на подделки Trezor от его клиентов не поступало.
Это уже было в 2022 году
История с подделками для Trezor не нова. Ещё в мае 2022 года компания предупреждала, что на одной из российских торговых площадок продавались поддельные Trezor Model T от неавторизованного продавца. Устройства вскрывали, запечатывали заново и устанавливали в них подменные внутренние компоненты, из-за чего фраза восстановления оказывалась предсказуемой или вообще заранее известной злоумышленникам. Тогда совет был простым - покупать только в официальном магазине Trezor.com или у авторизованного реселлера. Именно эту вторую опцию компания сейчас и урезает.
Стоит помнить этот урок и владельцам более бюджетных моделей вроде Trezor One, и покупателям новых Trezor Safe 7 со встроенной батареей. Если вы планируете холодный кошелек купить впервые, разумнее всего сверяться со списком официальных продавцов прямо на сайте производителя, а не ориентироваться на удобную цену на маркетплейсе.
Не только имплант: у Trezor уже были проблемы с данными
В августе логистический партнёр Trezor, компания ShipMonk, допустил несанкционированный доступ к клиентским данным. В сентябрьском обновлении Trezor сообщила, что утечка затронула 80 689 клиентов. Компания настаивает, что сами устройства, приватные ключи и резервные копии кошельков под угрозой не были, пострадали только контактные данные покупателей.
На этом фоне доверие к Trezor crypto экосистеме и так было под давлением, а скандал вокруг Ledger Nano X стал последней каплей, подтолкнувшей к чистке сети продавцов.
Что делать владельцам аппаратных кошельков прямо сейчас
Ledger прямо рекомендовала всем, кто покупал устройства у CryptoBilis за последние 90 дней, не настраивать кошелек вообще, а тем, кто уже успел это сделать, немедленно перенести средства на новую фразу восстановления, сгенерированную на устройстве, купленном напрямую у Ledger. Обе компании сходятся в одном - покупать аппаратный кошелек стоит только у официального производителя или у проверенного партнёра из его списка, независимо от того, пользуетесь вы Windows, macOS или Ledger Linux для управления кошельком.
Отдельная ирония в том, что оба производителя годами конкурировали друг с другом именно на поле безопасности, и теперь скандал с Ledger Nano X фактически заставил Trezor пересмотреть собственную дистрибуцию, хотя её устройства напрямую не пострадали. Для рынка в целом это неплохой звоночек, что цепочка поставок у хардверных кошельков - такое же уязвимое место, как и программный код, и экономия пары долларов на подозрительном продавце может обойтись куда дороже украденных средств.
