Ledger Nano X под ударом: компания признала инцидент, но настаивает на его ограниченности

Ledger Nano X снова оказался в центре скандала, связанного с кражей криптовалюты из аппаратных кошельков. Французская компания выпустила заявление, в котором признала инцидент, но постаралась максимально сузить его масштаб - по словам Ledger, проблема затронула только устройства, купленные у одного конкретного реселлера. При этом блокчейн-аналитики уже оценивают потенциальный ущерб в сумму свыше $86 миллионов.

Ledger Nano X и история с аппаратным имплантом

История началась 9 октября, когда пользователи начали массово сообщать о пропаже средств с устройств, которые они считали абсолютно надежными. Речь идет об аппаратных кошельках, то есть о физических устройствах, которые хранят приватные ключи оффлайн и в теории не должны быть доступны для удаленного взлома. Именно поэтому новость вызвала такой резонанс - если скомпрометирован Ledger Nano X, доверие ко всей категории "холодных" решений для хранения крипты оказывается под вопросом.

Ранее компания уже признавала, что на одном из пострадавших устройств был найден посторонний аппаратный имплант - чип, которого не должно быть в оригинальной сборке. Подробнее об этом открытии мы рассказывали в отдельном материале, где Ledger впервые подтвердила факт физического вмешательства в устройства и назвала предварительную сумму ущерба в $93 миллиона. Теперь цифры скорректировались, но суть осталась прежней - кто-то вмешивался в цепочку поставок до того, как кошельки попадали к конечным пользователям.

Что на самом деле заявила Ledger 11 октября

В свежем заявлении от 11 октября компания сообщила, что все выявленные на данный момент случаи кражи связаны с устройствами, приобретенными через CryptoBilis - авторизованного реселлера Ledger для Юго-Восточной Азии. Точное количество скомпрометированных кошельков компания не назвала, ограничившись формулировкой о том, что число пострадавших устройств ограничено.

Количество затронутых устройств ограничено, - заявили в Ledger, отказавшись при этом уточнять конкретные цифры.

Отдельно компания подчеркнула, что инцидент не затронул ее внутренние системы и не связан с прямыми продажами через официальный сайт. То есть если вы покупали Ledger Nano X напрямую у производителя, формально риск должен быть минимальным. Ledger заявила, что сотрудничает с правоохранительными органами для установления обстоятельств краж и лично связывается с пострадавшими клиентами.

Холодный кошелек это надежно - но с нюансами

Для тех, кто не глубоко погружен в тему, стоит напомнить, что холодный кошелек это устройство или носитель, который хранит приватные ключи без постоянного подключения к интернету. Именно поэтому аппаратный кошелек традиционно считается золотым стандартом безопасности - в отличие от горячих кошельков на биржах или в мобильных приложениях, его невозможно взломать удаленно через интернет-соединение.

Но этот случай показывает уязвимость другого типа - не программную, а физическую, на этапе производства или доставки. Если злоумышленники получают доступ к устройству до того, как оно попадает в руки покупателя, даже самый продуманный блокчейн кошелек превращается в ловушку. Это принципиально иная угроза по сравнению с фишингом или уязвимостями смарт-контрактов, и справиться с ней гораздо сложнее - ведь пользователь физически не может проверить, что происходило с коробкой до того, как она оказалась у него на столе.

CryptoBilis и проблема цепочки поставок

После того как масштаб проблемы стал очевиден, CryptoBilis объявила о приостановке продаж всех аппаратных кошельков до дальнейших уведомлений. Это логичный шаг, учитывая, что именно через этого реселлера проходили все известные на сегодня скомпрометированные устройства.

Ledger в ответ заявила, что усилила защиту всей цепочки поставок, включая систему авторизованных реселлеров, и доработала аппаратную защиту устройств от физического вмешательства. Компания также напомнила дистрибьюторам правило, которое, казалось бы, должно быть очевидным - закупать продукцию исключительно из авторизованных источников и никогда не перепродавать возвращенные устройства. Судя по всему, где-то в этой цепочке правило было нарушено, и именно это привело к инциденту.

Trezor, Coldcard и общая проблема индустрии

Любопытно, что Ledger в своем заявлении признала - проблема не уникальна именно для их продукции. Компания прямо призвала других производителей аппаратных кошельков и независимых исследователей безопасности усилить защиту отрасли от атак на цепочку поставок. На рынке леджер кошелек традиционно конкурирует с продукцией Trezor, и сравнение trezor ledger регулярно всплывает в спорах о том, какой аппаратный криптокошелек надежнее. Но этот инцидент показывает, что риски физического вмешательства актуальны для всей категории устройств, а не только для одного бренда.

Похожая ситуация ранее случилась и с другим известным производителем - про атаку на пользователей после кражи биткоина мы писали в материале о том, как Coldcard преследовали злоумышленники через взломанный аккаунт в X. Там проблема была другого характера, но общий вывод тот же - даже репутация надежного аппаратного кошелька не защищает владельца автоматически, если атакующие находят слабое место в окружающей инфраструктуре, а не в самом устройстве.

Что это значит для владельцев крипты

Если вы планируете купить холодный кошелек или уже пользуетесь Ledger Nano X, главный урок этой истории простой - важно не только само устройство, но и то, где и у кого вы его приобретаете. Холодный кошелек для криптовалюты имеет смысл покупать только напрямую с официального сайта производителя или у проверенных крупных ритейлеров, а не у сторонних продавцов на маркетплейсах, даже если они формально называются авторизованными реселлерами.

Стоит также различать кастодиальный кошелек это хранение, при котором ключи контролирует третья сторона, например биржа, и аппаратный кошелек, где ключи остаются у вас. Даже самый защищенный trezor кошелек или Ledger Nano X не спасет, если устройство было скомпрометировано еще до покупки. Некоторые энтузиасты в качестве дополнительной меры предосторожности используют бумажный кошелек биткоин как резервный способ хранения ключей офлайн, хотя у этого метода есть свои минусы - от физической порчи носителя до банальной потери бумаги.

Пока расследование продолжается, Ledger рекомендует всем владельцам устройств, купленных через непроверенные каналы, проверить происхождение покупки и при малейших подозрениях связаться с поддержкой компании. История с Ledger Nano X еще раз напоминает, что безопасность криптовалюты это не только выбор правильного устройства, но и бдительность на каждом этапе - от покупки до повседневного использования.

Автор

Barbados