#Ledger攻击均指向CryptoBilis Авторизованный дистрибьютор тоже может подвести? Кража 86 миллионов долларов вскрыла огромную слепую зону безопасности аппаратных кошельков

Авторизованный дистрибьютор тоже может подвести? Кража 86 миллионов долларов вскрыла огромную слепую зону безопасности аппаратных кошельков Многие держатели криптоактивов свято верят в очевидную истину: если купить аппаратный кошелёк крупного бренда через официального авторизованного дистрибьютора, устройство будет безопасным, а активы — в полной сохранности. Однако недавняя крупная кража активов у пользователей аппаратных кошельков Ledger в Юго-Восточной Азии жестоко разрушила это устоявшееся представление. Это происшествие, в результате которого, по предварительным оценкам, было похищено более 86 миллионов долларов, обнажило суровую реальность: даже аппаратный кошелёк, приобретённый через официальный авторизованный канал, не может на 100% гарантировать, что устройство не подвергалось вмешательству в процессе транспортировки и перемещения.
9 октября известный производитель аппаратных кошельков Ledger сообщил, что расследует инцидент с кражей активов, сосредоточенный в странах Юго-Восточной Азии. Устройства Ledger, принадлежавшие пострадавшим пользователям, были приобретены у его авторизованного дистрибьютора CryptoBilis в Индонезии, Малайзии и на Филиппинах. Исследователь безопасности блокчейна Specter предварительно оценил объём похищенных активов более чем в 86 миллионов долларов. Среди них были биткоины, Ethereum и другие криптовалюты, однако эта сумма пока не подтверждена независимой третьей стороной. Согласно официальным инструкциям Ledger по покупке, пользователи должны приобретать аппаратные кошельки преимущественно в фирменных магазинах или у авторизованных дистрибьюторов, а при первой инициализации устройства запускать проверку подлинности Genuine Check — это позволяет избежать риска покупки подделки.
Ключевая логика проверки подлинности заключается в том, чтобы удостовериться, что защищённый чип внутри устройства является оригинальным. В массовом понимании успешное прохождение этой проверки означает, что всё устройство было безопасным на всём пути от завода до пользователя. CryptoBilis как раз был официальным авторизованным дистрибьютором, зарегистрированным в списке Ledger. Полагаясь на эту официальную гарантию, пользователи утратили бдительность, но в итоге столкнулись с кражей активов.

Слепая зона безопасности авторизованных каналов: с чипом всё в порядке, но корпус устройства уже мог быть изменён
Здесь скрывается техническая граница, о которой не знает подавляющее большинство инвесторов: проверка подлинности проверяет только сам защищённый чип и не может обнаружить, установлено ли внутри корпуса дополнительное оборудование для шпионажа. В официальной документации Ledger уже давно указано, что полностью исключить атаки с перехватом и модификацией в глобальной цепочке поставок крайне сложно. Статус авторизованного дистрибьютора и проверка подлинности чипа позволяют исключить поддельный чип, но не гарантируют, что после ухода устройства с завода его не вскрывали и не модифицировали на складе дистрибьютора или в процессе перемещения.
В тот же день, когда это дело получило огласку, Mark Karpelès, ранее занимавший должность CEO биржи MtGox, опубликовал в социальной сети разобранное устройство Ledger Nano X. Он обнаружил, что внутри тайно установили комплект шпионских компонентов. По термоусадочной плёнке внешней упаковки было видно, что устройство полностью цело, и обычный человек не смог бы заметить ничего подозрительного. После снятия корпуса в зазоре за OLED-экраном, где изначально находился амортизирующий пеноматериал, обнаружились микроконтроллер, модуль сотовой связи, антенна и модуль eSIM. Это оборудование могло считывать содержимое экрана, перехватывать символы при вводе пользователем сид-фразы и удалённо отправлять их через сотовую сеть.
Проще говоря: защищённый чип оставался полностью исправным, проверка подлинности Genuine Check успешно проходила, но дополнительное шпионское оборудование следило за экраном и тайно перехватывало сид-фразу, как только она отображалась. Приватный ключ по-прежнему хранился в оригинальном защищённом чипе, однако, завладев сид-фразой, хакеры всё равно могли получить контроль над активами кошелька.
Эксперт по безопасности 23pds впоследствии провёл технический анализ. Если дополнительно установленная плата способна считывать поток данных экрана, то теоретически она может записывать сид-фразу и удалённо передавать её наружу. Однако эксперт одновременно подчеркнул, что этот способ атаки пока остаётся теоретическим предположением, а образец нуждается в дальнейшем углублённом анализе в ожидании полного заключения расследования Ledger. При этом важно прояснить один момент: прямых доказательств связи этого модифицированного образца с кражей у CryptoBilis пока нет. Это две независимые линии, однако их совокупность вывела на поверхность риск для всей цепочки поставок аппаратных кошельков.

Смена владельцев дистрибьютора заложила мину замедленного действия в цепочке поставок
Ещё больше размышлений вызывает стоящий за инцидентом вопрос об изменении контроля над дистрибьютором. Согласно имеющимся материалам, приобретение дистрибьютора CryptoBilis было завершено в марте 2026 года, после чего первоначальная команда основателей вышла из управления компанией. Сооснователь Arravind Prabu сообщил, что из-за обязательств по соглашению о конфиденциальности об этой сделке можно было публично объявить только в октябре; с августа всеми акциями компании владел новый фактический контролирующий собственник. Изменение структуры владения и полная смена руководства по времени практически совпали с кражей активов. Сама по себе смена владельцев не может напрямую доказывать участие новых акционеров в модификации устройств и краже активов. Но она выявляет огромную уязвимость цепочки поставок: после предоставления дистрибьютору авторизации его могут купить, руководство может смениться, а бренд не обязательно сможет оперативно провести повторную проверку и отозвать статус авторизованного дистрибьютора. Если кто-то из сотрудников дистрибьютора имеет преступный умысел, он может вскрыть новые устройства на складе, установить шпионские компоненты, а затем заново запечатать внешнюю упаковку. Обычный пользователь совершенно не способен распознать это невооружённым глазом.
После инцидента Ledger в срочном порядке потребовала от CryptoBilis приостановить все продажи и поставки, а также дала пользователям рекомендации по действиям: устройства, которые ещё не были инициализированы, нельзя настраивать; пользователям, которые уже завершили инициализацию и внесли активы, следует как можно скорее перенести активы на новое устройство Ledger и использовать совершенно новую сид-фразу. CryptoBilis также самостоятельно приостановила все продажи аппаратных кошельков и закрыла офлайн-магазины. Ledger заявила, что все заявленные случаи ущерба относятся к этому каналу дистрибьютора, тогда как пользователи, купившие устройства напрямую в официальном фирменном магазине Ledger, пока не сообщали об аналогичных кражах. Собственная внутренняя система бренда взломана не была.

Глубинный пересмотр безопасности аппаратных кошельков: на ком в итоге лежит ответственность за безопасность?
Долгое время многие инвесторы в криптосфере воспринимали аппаратный кошелёк как высшую страховку безопасности активов. Все по умолчанию считали: крупный бренд + авторизованный дистрибьютор = абсолютная безопасность. Этот инцидент полностью разрушил такую иллюзию.
Модель безопасности аппаратного кошелька строится на двух предпосылках: во-первых, в защищённом чипе нет уязвимостей; во-вторых, устройство не подвергалось физическим изменениям на всём пути от завода до пользователя. Технологию защищённых чипов производитель может контролировать, однако перемещение по цепочке поставок и хранение у сторонних дистрибьюторов остаются слабыми звеньями, которые бренду сложно полностью контролировать. Проверка подлинности как средство защиты может решить только вопрос «является ли чип оригинальным», но не вопрос «установлено ли внутри корпуса дополнительное шпионское оборудование». Злоумышленнику не нужно взламывать защищённый чип: достаточно следить за экраном и считывать сид-фразу, чтобы обойти защиту чипа. Такая атака на цепочку поставок на физическом уровне отличается чрезвычайной скрытностью. Обычные пользователи не могут самостоятельно разобрать устройство и проверить его, поэтому обнаружить вмешательство крайне сложно. Конечно, нельзя полностью отрицать ценность аппаратных кошельков. По сравнению с горячими кошельками и хранением активов на бирже аппаратный кошелёк по-прежнему остаётся относительно надёжным способом хранения крупных объёмов криптоактивов.
Но этот инцидент научил всех: авторизованный канал не равен сейфу, а проверка подлинности не означает абсолютной безопасности.

Практические стратегии защиты для обычных пользователей
1. В первую очередь выбирайте официальные фирменные каналы. Покупайте напрямую на официальном сайте бренда аппаратного кошелька или в официальном магазине, по возможности избегайте сторонних авторизованных дистрибьюторов, сокращайте число промежуточных этапов и снижайте вероятность вмешательства по пути.
2. Сразу после получения внимательно проверьте упаковку. Осмотрите плёнку и места запечатывания на наличие следов повторной упаковки. Если упаковка повреждена или заметны следы повторной термозапайки, сразу откажитесь от получения и не инициализируйте устройство.
3. Не демонстрируйте и не вводите сид-фразу в подключённой к интернету среде. Даже если устройство не подвергалось модификации, при вводе сид-фразы необходимо обеспечить безопасную обстановку: поблизости не должно быть камер, а экран не должен быть направлен на какие-либо электронные устройства.
4. Для крупных активов используйте мультиподпись и распределяйте активы, не храните всё в одном аппаратном кошельке.
5. Если вы подозреваете, что устройство работает некорректно, не переводите на кошелёк никакие активы, сразу замените устройство на новое и полностью смените сид-фразу.

Безопасность криптоактивов — это единая длинная цепочка: прошивка чипа, производственный завод, хранение и логистика, управление дистрибьюторами, привычки пользователей — сбой на любом звене может привести к обнулению активов. Главный урок кражи 86 миллионов долларов заключается в следующем: проверка безопасности может защищать только от известных технических уязвимостей, но с трудом противостоит физическим атакам с намеренной модификацией в цепочке поставок. Аппаратный кошелёк не является абсолютной «индульгенцией от потерь». Держатели криптоактивов должны одновременно с доверием к бренду и авторизованному каналу всегда сохранять настороженность в отношении рисков цепочки поставок.