Шпионская плата в Ledger помогла украсть до $93 млн

Французский производитель аппаратных криптокошельков Ledger подтвердил, что как минимум в одном устройстве пострадавшего клиента нашли посторонний аппаратный имплант. Все подтверждённые случаи кражи связаны с кошельками, которые продавал реселлер CryptoBilis из Юго-Восточной Азии. По оценкам блокчейн-аналитиков, злоумышленники вывели от $86 до $93 млн из более чем 300 кошельков.

Первые жалобы на опустошённые кошельки пошли 9 октября от покупателей из Юго-Восточной Азии. 10 октября служба поддержки Ledger написала в X: «Ledger может подтвердить, что устройство одного из пострадавших пользователей содержало несанкционированный аппаратный имплант». Деньги ушли в сетях Bitcoin, Ethereum и Tron. Официальную сумму ущерба компания пока не называет.

Как работала закладка

Подробности рассказал бывший глава биржи Mt. Gox Марк Карпелес. По его словам, он купил подменённый Ledger в Малайзии и вскрыл его. Под экраном, на месте обычной прокладки дисплея, стояла маленькая плата с микроконтроллером, антенной, LTE-модемом и eSIM.

Карпелес утверждает, что плата следила за экраном и перехватывала сид-фразу в момент, когда кошелёк показывал её владельцу. Сид-фраза — это 24 слова, по которым кошелёк можно восстановить на любом устройстве. Получив её по мобильной сети, злоумышленник мог вывести деньги в любой момент, без доступа к самому гаджету.

Обнаружить подмену снаружи почти невозможно. Устройство Карпелеса пришло в целой заводской плёнке и прошло фирменную проверку подлинности Genuine Check, потому что защищённый чип в нём был настоящим. Ledger пока не объяснила, как устроен имплант.

Что известно о реселлере

CryptoBilis работает в Индонезии, Малайзии и на Филиппинах. По данным Ledger, реселлер прекратил продажу всех аппаратных кошельков до конца расследования. На запрос CoinDesk компания не ответила. Сооснователь Binance Чанпэн Чжао написал в X, что злоумышленники якобы купили реселлера и обязали его молчать. Подтверждений этому нет.

Ledger настаивает, что её внутренние системы и прямые каналы продаж не взломаны. Компания сотрудничает с властями, проверяет контроль за реселлерами и напомнила дистрибьюторам, что товар можно закупать только по официальным каналам и нельзя заново продавать возвращённые устройства. Неподтверждённые сообщения в X о подменённых Ledger из европейской сети MediaMarkt компания не комментировала.

Что делать владельцам

• Не активировать новый кошелёк, если он куплен у CryptoBilis.
• Если устройство уже настроено, перевести средства на новый кошелёк, купленный напрямую у Ledger, с новой сид-фразой.
• Обратиться в поддержку Ledger только через официальные каналы и подать заявление в полицию.

Ledger советует проверить покупки за последние 90 дней. Аналитики Bitquery считают, что этого мало: более 80% опустошённых кошельков впервые получили средства в июне или позже. Значит, под угрозой могут быть и устройства CryptoBilis, проданные с начала лета.

Компания также предупреждает о мошенниках, которые попытаются нажиться на инциденте. Ledger никогда не звонит, не пишет в личные сообщения и не просит сид-фразу. Покупка у авторизованного реселлера снижает риск, но, как показал этот случай, полной гарантии не даёт. В июле похожий удар пришёлся на Coldcard: ошибка в прошивке позволила вывести, по разным оценкам, от $100 до $130 млн в биткоинах.

Источники: CoinDesk — заявления Ledger и данные о потерях, Help Net Security — устройство импланта и оценка Bitquery