BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
История о массовой краже из взломанных устройств Ledger Nano X получила неожиданный поворот. Аналитическая компания Chainalysis сообщила, что одной из крупнейших жертв оказался сам мошенник - он лишился более 60 BTC, то есть около $4,8 миллиона, которые до этого честно... ну, нечестно, но все же заработал на обмане других людей.
Схема с Ledger Nano X: как вор обокрал самого себя
По данным Chainalysis, биткоины происходили из классической схемы "задачного" мошенничества. Людям предлагали работу - подделывать продажи и отзывы на реальные товары на маркетплейсах, получая за это небольшую оплату. В какой-то момент в личном кабинете жертвы появлялся "отрицательный баланс", и ей сообщали, что для вывода заработанных денег нужно сначала пополнить счет собственными средствами. Классическая воронка, рассчитанная на то, что человек, вложившись один раз, будет вкладываться снова, пытаясь отбить потери.
Собранные таким способом средства мошенник решил перевести в холодное хранение. 22 сентября он распределил биткоины по трем отдельным адресам на устройствах Ledger Nano X. Логика понятна - аппаратный кошелек считается одним из самых надежных способов защитить биткоин кошелек от удаленных атак, ведь приватные ключи никогда не покидают сам девайс. Проблема в том, что именно эти экземпляры Ledger Nano X уже были скомпрометированы на этапе продажи.
9 октября злоумышленники одной транзакцией вывели средства со всех трех адресов сразу, объединив их в одном кошельке, который уже фигурировал в отчетах как хранилище украденных активов. Chainalysis опубликовала схему движения средств, показывающую, как деньги прошли через консолидирующий кошелек перед тем, как осесть на трех адресах Ledger, каждый из которых опустошили примерно на $1,64 миллиона.
Что не так было с этими Ledger Nano X
Команда безопасности Ledger Donjon обнаружила, что в части устройств, проданных через юго-восточноазиатского реселлера CryptoBilis, был установлен скрытый имплант. Во время первоначальной настройки кошелька он считывал 24-словную seed-фразу прямо с экрана устройства и отправлял ее наружу по LTE-соединению. То есть владелец думал, что генерирует ключи в полностью автономном режиме, а на деле его резервная фраза сразу же утекала третьим лицам.
Ledger подтвердила, что все на данный момент зафиксированные случаи потерь связаны именно с устройствами, проданными через CryptoBilis. При этом Chainalysis не раскрыла, где именно мошенник приобрел свои три скомпрометированных Ledger Nano X - неизвестно, покупал ли он их напрямую у проблемного реселлера или через какой-то промежуточный канал.
Мы уже писали о похожем эпизоде, когда мошенник обманул тысячи людей, а потом сам лишился почти $5 млн через взломанный Ledger - похоже, схема с поддельной прошивкой задела не только обычных пользователей, но и тех, кто сам зарабатывал обманом. Иногда цепочка жертв выстраивается в довольно ироничную последовательность.
Масштаб утечки: от $4,8 млн до $86 млн
On-chain исследователь, известный под псевдонимом Specter, оценивает общий объем предполагаемых краж через скомпрометированные устройства более чем в $86 миллионов. Ledger эту цифру пока не подтвердила, уточнив, что ее собственное расследование еще продолжается и официальной статистики по числу пострадавших пользователей или суммарным потерям компания не раскрывала.
Во вторник Ledger обратилась к реселлерам и дистрибьюторам в шести странах Юго-Восточной Азии и в Гонконге с просьбой приостановить продажи устройств до завершения разбирательства. Шаг экстренный, но логичный - пока непонятно, насколько широко распространилась партия с имплантом и затронула ли она только CryptoBilis или и другие каналы продаж.
Подробнее о масштабах атаки и том, как именно работала схема подмены устройств, мы рассказывали в материале о том, как организованная группа обчистила владельцев холодных кошельков через поставки Ledger Nano X.
Биткоин кошелек: какие варианты хранения надежнее
Эта история в очередной раз напоминает, что любой биткоин кошелек надежен ровно настолько, насколько надежна цепочка поставки устройства, на котором он создан. Аппаратный кошелек сам по себе - отличная идея, но только если он куплен напрямую у производителя или у проверенного официального дистрибьютора, а не у случайного реселлера с заманчивой скидкой.
Любители сравнивать железо часто спорят, что безопаснее - Trezor или Ledger, но в данном случае проблема вообще не в архитектуре чипа, а в человеческом факторе на этапе дистрибуции. Даже у связки Trezor Ledger как условного обозначения "надежного холодного хранения" есть общее слабое место - доверие к посреднику, через которого устройство попадает к конечному пользователю.
Отдельная категория пользователей до сих пор предпочитает совсем автономные методы вроде генерации ключей офлайн и записи их на бумаге. Бумажный кошелек биткоин не подключается к сети вообще, что исключает атаки через прошивку, но зато добавляет риски физической потери или порчи носителя. У каждого метода свои компромиссы, и универсального решения без каких-либо рисков попросту не существует.
Технически подкованные пользователи Ledger Linux-сборок давно обсуждают на форумах, что именно процесс первичной инициализации устройства - самый уязвимый момент всей цепочки, независимо от операционной системы. А владельцы, которые подключают MetaMask к Ledger для работы с DeFi и NFT, рискуют вдвойне: скомпрометированная seed-фраза открывает доступ сразу ко всем связанным с ней адресам и приложениям, а не только к биткоину.
Что это значит для владельцев крипто-кошельков
История с мошенником, потерявшим $4,8 млн через собственный Ledger Nano X, выглядит как забавный казус с эффектом бумеранга, но на самом деле она касается каждого, кто хранит крипту на аппаратном устройстве. Если имплант смог незаметно перехватывать seed-фразу у профессионального преступника, который наверняка не был новичком в вопросах безопасности, обычному пользователю тем более стоит перепроверить происхождение своего кошелька.
Один из крупнейших пострадавших от кражи через Ledger оказался сам мошенником. Он потерял более 60 BTC, около $4,8 млн. Средства были получены через схему "задачного" мошенничества.
Главный практический вывод простой. Устройство стоит покупать только у официального производителя или в проверенных магазинах, всегда проверять целостность упаковки и защитные пломбы, а перед вводом или генерацией seed-фразы убедиться, что экран и прошивка устройства не содержат посторонних модификаций. Похожий урок можно извлечь и из другого случая, когда поддельные Ledger Nano X подвели вора на $4,8 миллиона - сумма та же, схема похожа, но каждая такая публикация лишний раз подтверждает, что проблема с подделками устройств оказалась куда масштабнее единичного инцидента.
