BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Ledger Nano X снова в центре внимания, и на этот раз повод далеко не из приятных. Компания расследует сообщения о массовой потере средств пользователями в Юго-Восточной Азии, которые покупали устройства через реселлера CryptoBilis, числившегося официальным дистрибьютором в Индонезии, Малайзии и на Филиппинах. По последним оценкам, суммарные потери могут достигать почти $93 миллионов.
Что случилось: от $72 млн до $92,9 млн
История всплыла в пятницу, 9 октября, когда блокчейн-аналитики начали отслеживать движение средств из кошельков предполагаемых жертв. Первые оценки говорили о потерях выше $72 миллионов, но дальнейший анализ компании Bitquery расширил картину до $92,9 миллиона, затронувших 311 кошельков в пяти сетях - Bitcoin, Ethereum, TRON, BNB Chain и Polygon.
Важный нюанс, который легко потерять за заголовками: речь идёт об инциденте с выводом средств из конкретных кошельков, а не о подтверждённом взломе инфраструктуры самой Ledger. Аппаратные кошельки, включая Ledger Nano X, по задумке хранят приватные ключи офлайн именно для того, чтобы исключить удалённый доступ. Но если устройство модифицировано физически или скомпрометирована цепочка поставок, эта защита может не сработать.
Точный метод атаки на момент публикации так и не подтверждён. Имеющиеся доказательства не говорят о том, что базовая инфраструктура Ledger была взломана напрямую.
Реселлер CryptoBilis и приостановка продаж
Ledger попросила CryptoBilis немедленно остановить все продажи и отгрузки устройств до завершения расследования. Компания также выпустила предупреждение для всех, кто покупал устройства у этого реселлера за последние 90 дней.
Ledger is investigating reports of loss of funds from users in South East Asia who purchased products from a reseller named CryptoBillis. As a precaution, and pending the results of our investigation, we have asked CryptoBilis to pause all sales and shipments of Ledger devices.
Тем, кто уже купил устройство у этого реселлера, но ещё не активировал его, рекомендовали не начинать настройку. А тем, кто успел создать seed-фразу и перенёс на кошелёк активы, советуют перевести средства на новый Ledger-подписант с новой сид-фразой. Это стандартная рекомендация для любого биткоин кошелек, если есть хоть малейшие сомнения в его подлинности - лучше перестраховаться, чем потом искать концы.
Отдельно блокчейн-исследователь под псевдонимом Specter проследил подозрительные адреса, на которые стекались средства с сотен кошельков жертв в сетях Ethereum, TRON и Bitcoin, и оценил потери выше $86 миллионов. Подобная ситуация уже случалась с этим брендом ранее - подробности того инцидента разбирали в материале про поддельные Ledger Nano X от реселлера, обошедшиеся клиентам в $86 млн.
Ledger Nano X со скрытым модулем: находка Марка Карпелеса
Самая наглядная часть истории связана с бывшим главой биржи Mt. Gox Марком Карпелесом. Он опубликовал фотографии Ledger Nano X, полученного, по его словам, из Малайзии. Упаковка выглядела нетронутой, пломбы на месте, всё как положено. Но внутри, под прокладкой для экрана, он обнаружил скрытый электронный модуль, которого там не должно быть.
Карпелес отметил, что аппаратные имплантаты стали заметно совершеннее за последние годы, и отличить модифицированный компонент от оригинального становится всё труднее даже опытному глазу. Он попросил других пострадавших пользователей присылать фотографии своих устройств, чтобы сопоставить находки и понять масштаб проблемы. При этом Ledger официально не подтверждала, что найденный модуль был функциональным или связан именно с инцидентом CryptoBilis - пока это свидетельство одного конкретного пользователя, хоть и весьма тревожное.
История показывает, почему покупка аппаратного устройства не через ledger официальный сайт или проверенного партнёра - это всегда лотерея. Даже если упаковка выглядит идеально, гарантии подлинности нет.
Куда ушли деньги: заморозка USDT и следы в Tornado Cash
Расследование уже принесло несколько конкретных результатов. Tether заморозил около $10 миллионов в USDT, распределённых по 20 кошелькам, связанным с предполагаемой кражей. Это не возвращает средства жертвам автоматически, но блокирует возможность вывести именно эти токены через указанные адреса.
На момент анализа около 14 810 ETH оставались на кошельках, предположительно контролируемых злоумышленниками, а в связанных биткоин-адресах нашли примерно 203,8 BTC, которые на тот момент не двигались. Bitquery также зафиксировал перемещение около 1254 ETH через Tornado Cash и Zcash - классическую связку для запутывания следов. Позже эти средства всплыли на трёх новых кошельках, один из которых держал около 2,1 миллиона USDC. Присутствие USDC теоретически открывает ещё одну возможность для заморозки, но подтверждения от эмитента на момент публикации не было.
Анализ Bitquery также показал интересную деталь подготовки атаки: за две недели до основного вывода средств атакующие проводили мелкие тестовые транзакции, а группы кошельков подписывали похожие запросы с разницей в считанные секунды. Это намекает на координацию и единую точку контроля, но сами по себе транзакции в блокчейне не могут доказать, как именно злоумышленники получили доступ к кошелькам жертв.
Что говорит CZ и почему это не повод паниковать всем владельцам Ledger
Основатель Binance Чанпэн Чжао, известный как CZ, прокомментировал ситуацию почти сразу после первых сообщений. По его мнению, доступная информация указывает на локализованную атаку на цепочку поставок одного конкретного продавца, а не на системную проблему всей линейки устройств.
Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most secure and oldest hardware wallets in the industry. Stood the test of time. But these things happen.
Он призвал участников индустрии, включая экосистему BNB, помочь в отслеживании и возврате украденных активов. Подробнее о том, какую практическую рекомендацию дал CZ владельцам устройств, купленных у сомнительных продавцов, можно почитать в материале о том, почему CZ советует держать Ledger Nano X "в карантине".
Важно понимать разницу между репутацией бренда и конкретной партией устройств. Ledger Nano X остаётся одним из старейших и наиболее проверенных аппаратных решений на рынке, конкурирующим по надёжности с trezor ledger - двумя главными именами в этой категории. Проблема не в архитектуре устройства как таковой, а в том, что физический экземпляр мог быть подменён или доработан ещё до того, как попал в руки покупателя.
Как не купить поддельный биткоин кошелек
История с CryptoBilis - хороший повод вспомнить базовые правила покупки аппаратных кошельков. Экосистема хранения криптовалют давно вышла за рамки простого выбора между холодным и горячим кошельком - сегодня встречаются и бумажный кошелек биткоин, и аппаратные устройства вроде Ledger Nano X, и мультиподписные схемы. Но правило безопасности остаётся общим для всех вариантов.
- Покупайте устройства только через ledger официальный сайт или список проверенных партнёров, указанный прямо там - никаких маркетплейсов и случайных продавцов, даже если они числятся "официальным дистрибьютором".
- Проверяйте целостность упаковки и пломб при получении, но помните, что современные имплантаты, как показал случай Карпелеса, могут быть почти незаметны снаружи.
- При первой настройке обязательно сверяйте, что сид-фраза генерируется самим устройством, а не приходит в распечатанном виде - это явный признак компрометации.
- Используйте официальное приложение Ledger Live и проверяйте подписи прошивок, в том числе если работаете через ledger linux - open-source инструменты для Linux позволяют дополнительно верифицировать подлинность софта.
- Если есть хоть малейшие сомнения в происхождении устройства, переносите средства на новый кошелёк с новой сид-фразой, созданной на проверенном гаджете.
Отдельно стоит помнить, что безопасность кошелька не заканчивается на этапе покупки устройства. Даже идеально настроенный Ledger Nano X не спасёт от ошибок в обращении с адресами и транзакциями - о типичных промахах, которые убивают анонимность и раскрывают историю операций, можно прочитать в материале о том, как одна транзакция способна лишить владельца биткоина многолетней анонимности.
Финальная оценка ущерба - $92,9 миллиона - пока остаётся независимой оценкой аналитиков, а не официально подтверждённой Ledger цифрой. Причина инцидента тоже не закрыта: имеющиеся данные указывают на возможную проблему цепочки поставок, но окончательно не доказывают, что именно поддельные или модифицированные устройства стали единственной причиной потерь. Подтверждённой на сегодня остаётся сама реакция Ledger - расследование, приостановка продаж у реселлера, предупреждение клиентам и частичная заморозка $10 миллионов в USDT. Дальнейшие выводы будут зависеть от результатов форензик-анализа и продолжающегося отслеживания средств в блокчейне.
