BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Ledger Nano X снова оказался в центре внимания, но на этот раз неприятности настигли не только владельцев этого устройства, а и главного конкурента производителя. После того как выяснилось, что часть кошельков продавалась через недобросовестного реселлера с вшитыми шпионскими чипами, компания Trezor решила перестраховаться и разорвать соглашения с частью своих партнёров по продажам.
Эхо скандала с Ledger Nano X докатилось до Trezor
В письме партнёрам коммерческий директор Trezor Дэнни Сандерс сообщил, что компания отзовёт авторизацию у части реселлеров с 1 января 2027 года. Цель простая - взять под более плотный контроль всю цепочку поставок, от завода до покупателя. Формально решение никак не связано с конкретными обвинениями в адрес этих продавцов, но совпадение по времени с историей вокруг Ledger Nano X слишком заметное, чтобы его игнорировать.
Сандерс в письме особо подчеркнул, что речь идёт о превентивной мере, а не о реакции на реальные проблемы с собственными устройствами:
Позвольте выразиться предельно ясно. Нет ни единого доказательства того, что устройства Trezor были скомпрометированы.
При этом он признал, что недавняя история с другим производителем холодных кошельков подтвердила опасения, которые в Trezor вынашивали давно. По его словам, даже если само железо технически защищено на все сто, риск всё равно остаётся, если злоумышленники получают доступ к устройству до того, как оно попадает в руки конечного владельца.
Что на самом деле произошло с Ledger Nano X
Поводом для всей этой встряски стала история с реселлером CryptoBilis в Юго-Восточной Азии. Ledger признала, что часть устройств, проданных через этого партнёра, содержала несанкционированные аппаратные импланты, способные перехватывать 24-словную seed-фразу пользователя прямо в момент инициализации кошелька.
Находку обнаружила команда безопасности Ledger под названием Donjon, и детали оказались не самыми приятными - встроенный чип мог отправлять украденные фразы восстановления через сотовую сеть, фактически сливая доступ к средствам жертвы напрямую злоумышленникам. Мы подробно разбирали, как именно работал этот шпионский имплант в кошельках Ledger Nano X и что он успел натворить.
Аналитики, отслеживающие транзакции в блокчейне, оценили ущерб в более чем 90 миллионов долларов, хотя сама Ledger официальную цифру так и не подтвердила. Позже компания опубликовала собственное расследование и назвала конкретного виновника произошедшего - подробности есть в материале о том, как Ledger переложила ответственность за кражу $87 млн на продавца CryptoBilis.
Холодный кошелек это не панацея, если его трогали до вас
Вся эта история - хороший повод вспомнить, что холодный кошелек это устройство, которое хранит приватные ключи офлайн, без постоянного подключения к интернету, и именно поэтому его считают куда безопаснее горячих кошельков на бирже. Но тут есть нюанс, который многие упускают - безопасность железа ничего не стоит, если кто-то успел вмешаться в устройство ещё на этапе производства или продажи.
Для понимания разницы стоит держать в голове, что кастодиальный кошелек это хранилище, где приватные ключи контролирует третья сторона вроде биржи, а холодный кошелек для криптовалюты, наоборот, отдаёт весь контроль владельцу. Самый примитивный вариант такого хранения - бумажный кошелек биткоин, где ключи просто записаны на листе бумаги. Аппаратные устройства вроде Ledger и Trezor - это более продвинутая версия той же идеи, блокчейн кошелек в физическом виде, с экраном и кнопками для подтверждения транзакций. Но цепочка поставок у них у всех одна и та же, и именно в ней нашли слабое звено.
Как Trezor перестраивает сеть продаж
Реселлеры, получившие уведомление о расторжении, будут исключены из официального списка авторизованных партнёров Trezor ровно 1 января 2027 года. Новые партии товара им отгружать перестанут уже сейчас, но распродать то, что осталось на складе, компания разрешила - включая самый горячий сезон продаж, Black Friday и рождественские праздники.
Решение о том, кого именно отключать, принималось по трём критериям - объём выручки, возможности дистрибуции и то, насколько прочно компания уже закрепилась на конкретном рынке. В итоге в Trezor пришли к выводу, что меньшее число реселлеров позволит проводить более глубокие проверки безопасности по каждому каналу продаж. Сколько именно партнёров попало под раздачу, компания не раскрыла.
Отдельно Сандерс подчеркнул, что решение никак не бросает тень на сами отключённые компании и не означает, будто они распространяли скомпрометированные устройства. Для тех, кто останется в статусе официального партнёра, условия контракта ужесточат - Trezor будет сильнее контролировать, как именно устройства закупаются, хранятся и передаются дальше по цепочке. Модельный ряд у компании и так немаленький - от простого Trezor One до более продвинутых линеек, и каждая trezor model поддерживает внушительный список криптовалют, так что каждая trezor coin в портфеле пользователя теоретически может оказаться под ударом при компрометации хотя бы одного звена цепочки. Актуальный список официальных партнёров и устройств, как обычно, можно найти на trezor com.
Что это значит для владельцев Ledger и Trezor
Для обычного пользователя вся эта история - лишний повод проверить, где именно куплено его устройство. Сравнение trezor ledger в плане репутации теперь выглядит иначе - оба производителя признают, что проблема не в самих чипах, а в людях и логистике между заводом и покупателем. Кошельки обеих марок давно и неплохо работают с разными операционными системами, включая ledger linux, но программная совместимость тут вообще ни при чём, если устройство было вскрыто ещё до того, как попало на полку магазина.
Общий совет остаётся прежним - покупать аппаратные кошельки только напрямую у производителя или у проверенных официальных партнёров, проверять упаковку на предмет следов вскрытия и никогда не вводить seed-фразу на устройстве, которое вызывает хоть малейшие сомнения. Скандал вокруг Ledger Nano X показал, что даже репутация крупного бренда не спасает, если контроль над цепочкой поставок даёт слабину, а решение Trezor - по сути попытка не наступить на те же грабли.
