Ledger и CryptoBilis: утечка средств и что делать покупателям

Коротко: 9 октября 2026 года Ledger сообщила, что расследует жалобы на пропажу средств у клиентов из Юго-Восточной Азии, купивших её устройства у CryptoBilis — авторизованного реселлера в Индонезии, Малайзии и на Филиппинах. Компания попросила CryptoBilis приостановить все продажи и отгрузки, а тем, кто купил там кошелёк за последние 90 дней, — не настраивать неиспользованное устройство; если же оно уже настроено, перевести активы на новый Ledger с новой сид-фразой. Ончейн-исследователи оценивают потери от более чем $72 млн до более чем $86 млн, но ни сумму, ни причину Ledger пока не подтвердила.

Что заявила Ledger?

Первое сообщение появилось в пятницу, 9 октября, в аккаунте поддержки Ledger в X. В нём говорится, что компания проверяет сообщения о потере средств у пользователей, купивших продукцию Ledger через CryptoBilis, и на время проверки попросила реселлера остановить продажи и отправку устройств. Позже основной аккаунт Ledger уточнил: по мнению компании, выведенные средства связаны только с устройствами, проданными через этого реселлера, и признаков взлома её собственной инфраструктуры, систем или сервисов нет.

В комментарии Cointelegraph Ledger добавила, что проблема, судя по всему, ограничена реселлером и его рынком, а жалоб по устройствам, купленным напрямую у компании, не поступало. Сколько клиентов пострадало, сколько потеряно и были ли это вскрытые оригинальные устройства, подделки или что-то третье, Ledger не сообщила. По данным Gizmodo, на 9 октября сама CryptoBilis публично не высказывалась.

Насколько велики потери?

Цифры называют только независимые исследователи, и они не подтверждены:

• tanuki42 нашёл восемь адресов, на которые, по его данным, ушло более $72 млн, и попросил пострадавших обращаться в SEAL 911 — волонтёрскую команду реагирования Security Alliance. При этом он оговорился, что не может с уверенностью связать кражи с Ledger, но не знает ни одного случая, где не фигурировал бы этот реселлер.
• Specter отследил средства в сетях Bitcoin, Ethereum и Tron и оценил сумму более чем в $86 млн. Сначала он говорил о сотнях кошельков-жертв, затем уточнил, что их число пока неизвестно.
• Arkham: по данным, которые приводит Decrypt, на помеченных адресах было около $87 млн — в основном ETH, BTC и USDT; Gizmodo в тот же день чуть раньше видел под неверифицированной меткой Arkham около $71,5 млн. Новостная лента KuCoin ссылалась на оценки охранных компаний, близкие к $90 млн.

Неясно, считают ли эти оценки одни и те же адреса и все ли кражи связаны с CryptoBilis. Чаще всего цитируют ~$86 млн, но это остаётся оценкой исследователя.

Главное в цифрах

Что такое атака на цепочку поставок аппаратного кошелька?

Аппаратный кошелёк должен сам сгенерировать сид-фразу внутри защищённого чипа и никогда её не выпускать. Атака на цепочку поставок бьёт по участку между заводом и вашим столом: злоумышленник заранее знает сид или может его перехватить ещё до того, как вы положите на кошелёк деньги. Известные схемы такие:

• Предустановленная сид-фраза. В коробке лежит скретч-карта или распечатка с «фразой восстановления» и инструкцией её использовать. У того, кто печатал карту, уже есть ваши ключи. Настоящий Ledger никогда не поставляется с заданной сид-фразой или PIN-кодом.
• Подменённые карточки. Само устройство оригинальное, но лист для записи сид-фразы или карточка настройки заменены на такие, где предлагают восстановиться из готовой фразы или ввести её на компьютере или сайте.
• Поддельное или доработанное железо. Фальшивое или модифицированное устройство, которое выглядит как настоящее и может пройти беглый осмотр. В 2021 году, после утечки клиентской базы Ledger, некоторым пользователям приходили по почте поддельные Ledger с добавленными компонентами.
• Фальшивое приложение. Поддельный софт-компаньон, который объявляет подделку оригиналом или просит ввести сид-фразу.

В нынешней истории ничего из этого не подтверждено. Чанпэн Чжао (CZ) заявил, что имеющиеся данные указывают на атаку на цепочку поставок с участием одного продавца и, возможно, поддельные или вскрытые устройства. Бывший глава Mt. Gox Марк Карпелес опубликовал фото Ledger, купленного, по его словам, в Малайзии: заводская плёнка цела, а внутри спрятана дополнительная плата, которую он описывает как LTE-модуль, способный отправить сид-фразу наружу. Он не утверждал, что устройство куплено у CryptoBilis, и речь об одном экземпляре. Ledger не обвиняла реселлера во вмешательстве — ответственным может оказаться и третья сторона в цепочке поставок.

Что делать прямо сейчас?

Если вы купили Ledger у CryptoBilis за последние 90 дней:

1. Устройство не использовалось — не активируйте его. Оставьте коробку как есть и следите за обновлениями Ledger Support в X.
2. Уже настроено — подумайте о переводе средств. Ledger советует перенести активы на новое устройство с заново сгенерированной сид-фразой. Купите новый кошелёк напрямую у Ledger и настройте его до того, как что-либо отправлять.
3. Средства уже пропали: соберите хэши транзакций и адреса и обращайтесь в SEAL 911 и поддержку Ledger — только через официальные каналы.

Для всех, кто покупает или проверяет аппаратный кошелёк:

1. Покупайте напрямую или у реселлера из официального списка. На маркетплейсах вроде Amazon, Shopee или Lazada сверяйте продавца со списком производителя. Авторизованный реселлер снижает риск, но, как показывает этот случай, не убирает его; самая короткая цепочка — магазин самого производителя.
2. Не принимайте готовую сид-фразу или PIN. Если в коробке есть фраза восстановления, PIN-код или устройство уже настроено — не пользуйтесь им и пишите в поддержку.
3. Генерируйте сид-фразу сами, на устройстве. Записывайте её только на бумагу или металл и никогда не вводите в телефон, компьютер или на сайт.
4. Пройдите Genuine Check в официальном приложении Ledger, скачанном с ledger.com или из официальных магазинов приложений. Сама Ledger предупреждает, что проверка не обнаруживает любые физические «закладки», поэтому она дополняет надёжный источник покупки, а не заменяет его.
5. Осмотрите упаковку, но не полагайтесь на неё: подделки делают так, чтобы они проходили визуальную проверку.
6. Проверьте, прежде чем доверять. Сначала отправьте небольшую сумму, сверьте адрес получения на экране устройства и подождите, прежде чем переводить крупные суммы.
7. Игнорируйте предложения «замены» и «компенсации». За такими инцидентами всегда идут фишинговые письма и фальшивые аккаунты поддержки. Ledger не рассылает устройства на замену без запроса. Подробнее — в материалах как не попасться мошенникам при обмене криптовалюты и об отравлении адресов и фишинге подписей.

Про резервные копии сид-фразы, passphrase и реальные угрозы подробно — в руководстве по безопасности некастодиальных кошельков. Если при переезде на новый кошелёк вы заодно хотите обменять монеты, курсы обменников можно сравнить в списке обменников или обменять без регистрации в Changerella App — монеты придут сразу на указанный вами адрес; только сначала сверьте его на экране нового устройства.

Почему это важно

Аппаратный кошелёк — стандартный совет для всех, кто забирает монеты с бирж, и его модель безопасности исходит из того, что у вас в руках именно то устройство, которое собрал производитель. Эта история не доказывает, что чип или прошивка Ledger взломаны — компания заявляет, что её системы не скомпрометированы. Зато она показывает, что цепочка дистрибуции тоже входит в модель угроз. Самый безопасный путь короткий: купить у производителя, сгенерировать сид самому и считать любую фразу, пришедшую в коробке, уже украденной.

Частые вопросы