Ledger нашла LTE-жучок в кошельках CryptoBilis. Потери оценивают до $103 млн

Французская компания Ledger, которая делает аппаратные криптокошельки (маленькие устройства, где ключи к биткоину и другим монетам живут офлайн), 13 октября 2026 года опубликовала разбор своей лаборатории Donjon. В корпусе хотя бы одного кошелька, проданного через реселлера CryptoBilis (официальный продавец в Индонезии, Малайзии и Филиппинах), нашли постороннюю плату с LTE и eSIM. Плата смотрела на экран, ловила 24 слова фразы восстановления при первой настройке и отправляла их по сотовой сети. Аналитики блокчейна оценивают связанные сливы в $86-103 млн с сотен кошельков. Обычному человеку это важно, потому что Ledger - один из самых популярных «железных» кошельков в России, СНГ и Европе, и схема бьёт не в сервер компании, а в коробку, которую вы купили у посредника.

Что именно нашли внутри корпуса

Ledger Donjon пишет: имплант сидит внутри корпуса как отдельный кусок железа. Он не трогает Secure Element (защищённый чип, где должны жить ключи) и не меняет прошивку. Он читает то, что рисует экран. При первой настройке устройство показывает 24 слова фразы восстановления. Микроконтроллер распознаёт эти экраны, собирает слова и передаёт их по LTE через заранее прошитый eSIM.

По заявлению компании, транзакции и подписи устройство по-прежнему считает «честно»: жучок не подменяет суммы на экране. Украсть можно только то, что пользователь сам показал при инициализации. Если кошелёк уже был настроен давно и seed никто не вводил заново, эта конкретная схема не сработает. Ledger подтвердила имплант в одном устройстве пострадавшего 10 октября; все подтверждённые случаи пропажи денег от волны 9 октября компания связывает с покупками у CryptoBilis, а не с прямыми продажами с ledger.com.

Сколько украли и откуда цифры

Сама Ledger итог не называет и просит не путать сторонние оценки со своими. Фирма Bitquery насчитала около $102 млн с 324 кошельков на шести сетях (больше всего на TRON). Другие трекеры давали $86 млн, $93 млн и до $103,4 млн. Tether заморозила порядка $10 млн USDT в связанных кошельках; часть USDC теоретически ещё можно остановить.

Сливы начались около 9 октября. Исследователи отмечали пачки одинаковых подписей за секунды: похоже, у атакующего уже были ключи, а не шёл живой фишинг. Это совпадает с логикой «seed украли заранее при распаковке», а не «взломали сайт Ledger».

Почему железный кошелёк вообще можно так обойти

Маркетинг аппаратных кошельков обещает: ключ никогда не покидает чип. На практике пользователь всё равно видит seed на экране, чтобы записать на бумагу. Если между экраном и глазом стоит лишняя плата, чип может быть идеальным, а деньги всё равно уйдут. Это классическая атака на цепочку поставок: устройство настоящее, пломба снаружи может выглядеть целой, внутри - чужой радиомодуль.

Бывший глава биржи Mt. Gox Марк Карпелес публично разбирал ещё один Nano X из Малайзии в заводской плёнке и описал модуль у шины экрана, антенну и eSIM. Ledger официально подтвердила механику «читает экран - шлёт по LTE» именно для партии CryptoBilis. Сообщения о похожих доработках в европейских магазинах компания не подтвердила как часть этой волны.

Кто такой CryptoBilis и куда смотреть покупателю

CryptoBilis числился авторизованным реселлером Ledger в нескольких странах Юго-Восточной Азии. 9 октября Ledger попросила его остановить продажи и отгрузки. Реселлер, по словам производителя, продажи остановил. Прямые продажи Ledger и собственная инфраструктура, утверждает фирма, не затронуты.

Для читателя из России или Европы практический вывод простой. Покупка с серой витрины, у «официального дилера в соседней стране» или с маркетплейса без проверки серийника - это другой риск, чем заказ с сайта производителя. Возвраты и «витринные» экземпляры Ledger отдельно просит не пускать обратно в продажу.

Что делать, если кошелёк уже дома

Официальная линия поддержки на support.ledger.com такая. Если устройство от CryptoBilis ещё не включали - не настраивайте. Если уже настроили и на нём лежат деньги - перенесите активы на новый аппаратник, купленный напрямую у Ledger, и обязательно с новой фразой восстановления. Старый seed на новом железе не спасёт: кто украл слова, тот по-прежнему владеет кошельком.

Ledger просит пострадавших писать в официальную поддержку, чтобы включить кейс в расследование, и обращаться в полицию. Не вводите 24 слова на сайтах «проверки», в чатах поддержки и в расширениях браузера: параллельно идут обычные фишинговые волны на панике.

1. Проверьте, у кого покупали: чек, страна, название магазина.
2. Неиспользованный девайс от сомнительного канала не инициализируйте.
3. Уже используемый - новый seed на железе с официального сайта, затем перевод.
4. Пишите только в support.ledger.com, не в «агентов» из Telegram.

Чем это грозит рынку железных кошельков

Аппаратный кошелёк продают как ответ на взлом бирж и телефонов. Атака показывает слабое место: логистика и корпус. Чип можно не трогать, если достаточно подсмотреть один раз при распаковке. Для серого рынка это учебник: подмена внутри плёнки дороже фишинга, но окупается, если в партии сидят крупные балансы.

Конкуренты вроде OneKey уже отзывали дилеров и предлагали замены тем, кто брал через тот же канал. Обычному держателю крипты полезнее не теория «железо всегда безопаснее телефона», а привычка: покупать у производителя, не фотографировать seed, не доверять «новым» коробкам с рук и помнить, что фраза восстановления - это и есть деньги.

Как не стать следующей партией

Проверяйте упаковку и пломбы, но не считайте это гарантией: Карпелес как раз описывал целую внешнюю плёнку. Сравнивайте серийный номер с тем, что показывает устройство при включении. Не покупайте «как у друга, только дешевле с Авито». Если продавец настаивает на удалённой помощи «настроить вместе» и просит слова - это уже не эта история, это классический скам.

Пока Google, Samsung и принтеры ломают на конкурсах вроде Pwn2Own, крипта снова напоминает: физический доступ и посредник часто страшнее красивого эксплойта в браузере. Ledger обещает усилить антитампер. Пока патч для уже купленной коробки - только новый seed и другой экземпляр из чистого канала.

Источники

Официальные формулировки Ledger и оценки потерь расходятся: компания не верифицировала суммы сторонних трекеров. Ниже - страницы, по которым можно сверить факты самостоятельно.