Ledger подтвердил аппаратный имплант в кошельке из расследования CryptoBilis
Ledger подтвердил обнаружение несанкционированного аппаратного импланта внутри одного устройства пользователя, пострадавшего в рамках расследования потерь средств у покупателей реселлера CryptoBilis. Компания не сообщила, сколько устройств могли быть модифицированы, и не подтвердила оценку ущерба свыше $86 млн, полученную независимыми ончейн-исследователями. CryptoBilis ранее значился официальным реселлером Ledger в Индонезии, Малайзии и на Филиппинах и на время расследования приостановил продажи аппаратных кошельков.Что именно подтвердил Ledger
10 октября Ledger сообщил, что внутри устройства одного из пострадавших пользователей обнаружен посторонний аппаратный компонент. В обновлении Ledger Support компания назвала его unauthorized hardware implant - несанкционированным аппаратным имплантом - и сообщила о продолжении расследования.Это важное уточнение к первоначальным сообщениям о возможной компрометации устройств. До исследования конкретного экземпляра речь шла прежде всего о совпадении между сообщениями о потерях средств и покупками через одного реселлера. Теперь физическая модификация как минимум одного устройства подтверждена самой Ledger.
При этом формулировка "Ledger с бэкдором" слишком широкая. Подтвержден отдельный аппаратный имплант в одном устройстве, а не наличие штатного бэкдора в архитектуре кошельков Ledger или прошивке всей линейки.
Почему CryptoBilis оказался в центре расследования
Сообщения о потерях начали поступать от пользователей в Юго-Восточной Азии, которые приобретали устройства через CryptoBilis. Компания была указана Ledger среди авторизованных продавцов в Индонезии, Малайзии и на Филиппинах. Это подтверждает не происхождение модификации, а официальный статус продавца на момент событий.Ledger первоначально попросил CryptoBilis остановить продажи и отправку своих устройств. Позднее реселлер сообщил о более широкой приостановке продаж аппаратных кошельков на время расследования.
В материале Cointelegraph от 11 октября Ledger заявляет, что ее собственные инфраструктура, системы и сервисы не были скомпрометированы. Компания также не сообщала о подтвержденных случаях потерь у покупателей устройств, приобретенных непосредственно у Ledger.
Откуда появилась оценка ущерба свыше 86 миллионов долларов
Сумма свыше $86 млн не является официальной оценкой Ledger. Ончейн-исследователь Specter связал с предполагаемыми хищениями транзакции в сетях Bitcoin, Ethereum и Tron и оценил совокупный размер потерь более чем в $86 млн.Другой исследователь, tanuki42, ранее связал с подозрительными переводами восемь адресов и оценивал объем более чем в $72 млн. Позднее появлялись еще более высокие сторонние оценки. Различие связано с набором адресов, который аналитики относят к одному инциденту.
Ledger не подтвердил эти суммы и не сообщил точное количество пострадавших. Не установлено также, относятся ли все отслеживаемые аналитиками транзакции к устройствам CryptoBilis. Поэтому $86 млн следует рассматривать как оценку независимого блокчейн-анализа, а не установленный размер ущерба.
Как аппаратный имплант может обходить обычную проверку устройства
Отдельные исследователи ранее изучили модифицированные Ledger Nano X, внутри которых находились дополнительные электронные компоненты. Такой сценарий отличается от взлома Secure Element: оригинальный защищенный чип может оставаться рабочим, а посторонняя электроника перехватывает информацию на другом участке устройства.В исследованных сторонними специалистами образцах имплант располагался рядом с дисплеем и мог наблюдать данные, передаваемые на экран. Это особенно опасно при первоначальной настройке, поскольку устройство показывает recovery phrase, которая дает контроль над соответствующим кошельком.
Однако связь описанных исследователями образцов со всеми потерями клиентов CryptoBilis пока не установлена. Подтверждение Ledger относится к наличию аппаратного импланта в одном устройстве, а не к опубликованной полной технической схеме атаки.
Ledger советует не использовать недавно купленные у CryptoBilis устройства
Рекомендации Ledger относятся прежде всего к клиентам CryptoBilis. Если устройство от этого продавца еще не было настроено, компания советует не начинать настройку. Пользователям, уже активировавшим такой кошелек, Ledger рекомендует рассмотреть перевод активов на другое новое устройство с новой recovery phrase.Здесь принципиально именно создание нового seed. Перенос средств на другой аппарат с восстановлением той же потенциально скомпрометированной recovery phrase не устраняет риск, поскольку контроль над средствами определяется ключами, производными от этой фразы.
Ledger также предупреждает не передавать 24 слова recovery phrase службам поддержки или лицам, предлагающим помощь с возвратом средств. На фоне крупных инцидентов часто появляются вторичные мошеннические схемы, рассчитанные уже на пострадавших пользователей.
Сообщение из Европы пока не доказало расширение той же атаки
После первоначальных сообщений из Юго-Восточной Азии появился отдельный случай в Европе. Пользователь представил фотографии модифицированного Ledger, который, по его словам, был приобретен в сети MediaMarkt. Внешне обнаруженный компонент напоминает более раннюю версию описанного аппаратного импланта.Однако Cointelegraph отдельно отмечает, что Ledger пока не подтвердил связь европейского устройства с атакой вокруг CryptoBilis. Средства с этого конкретного кошелька также не были похищены.
Поэтому утверждать, что подтвержденная атака уже вышла за пределы CryptoBilis, преждевременно. На текущей стадии корректнее разделять подтвержденные случаи из расследования Ledger и отдельные сообщения исследователей о похожей физической модификации устройств в других регионах.
Итог
На 12 октября 2026 года Ledger подтвердил главный технический факт: в одном устройстве пострадавшего обнаружен несанкционированный аппаратный имплант. CryptoBilis был официальным реселлером Ledger на трех рынках Юго-Восточной Азии и остановил продажи аппаратных кошельков на время расследования.При этом масштаб инцидента остается открытым. Ledger не подтвердил ни число модифицированных устройств, ни общую сумму потерь, а оценки свыше $86 млн основаны на независимом анализе блокчейн-транзакций. Компания также заявляет, что ее собственная инфраструктура не была взломана. Отдельное сообщение о похожем устройстве в Европе требует независимого подтверждения связи с тем же инцидентом.
Редакция PavRC