Шпионские модули в Ledger добрались до Европы. Проблема серьезнее, чем заявляет компания

У покупателей аппаратных кошельков Ledger начали пропадать средства. Компания нашла виновника — один магазин в Малайзии — и остановила там продажи. Но пользователь X под ником Johannes утверждает, что проблема куда шире.

Он купил два кошелька Ledger в разных магазинах MediaMarkt в Европе и в обоих нашел шпионские модули. Одинаковые. Ончейн-аналитик Specter тем временем насчитал более $86 млн потерь. Рассказываем, что не так в этой истории.

Johannes, после того, как у него появились подозрения в безопасности купленного ранее кошелька, приобрел второй Ledger в MediaMarkt, включил камеру и начал вскрывать упаковку. Внутри снова оказались посторонние провода и LTE-модуль — крошечная деталь, которая позволяет устройству выходить в мобильную сеть и передавать данные. Модификации совпали с первым экземпляром один в один.

Johannes предположил, что кто-то купил этот кошелек, модифицировал его, чтобы после украсть деньги нового владельца, а затем вернул его в магазин под надуманным предлогом. Сотрудник MediaMarkt заверил, что возвращенные Ledger отправляют производителю, а не выставляют обратно на полку.

Партия, в которой оказались два модифицированных устройства, по данным магазина, пришла от дистрибьютора Aqipa GmbH. Технический директор Ledger не смог сказать, работает ли Aqipa с MediaMarkt напрямую. Johannes уверен, что да. А это уже другой масштаб — Aqipa поставляет товар по всей Европе, и MediaMarkt с Saturn — это больше тысячи магазинов в 11 странах.

Johannes требует от Ledger немедленно отозвать продукцию. Первое устройство он отдал на экспертизу, второе отправляет в компанию.

Официальная картина выглядит не так. По словам представителей компании, покупатели пожаловались на пропажу средств с купленных в определенной сети магазинах. После производитель попросил малайзийский CryptoBilis приостановить продажи на время расследования. Магазин работает с 2020 года и обслуживает клиентов в Индонезии и на Филиппинах.

Рекомендации Ledger для покупателей CryptoBilis:

На этом конкретика заканчивается. Ledger не подтверждает сумму потерь, не объясняет, как деньги покинули кошельки, и не говорит, были ли устройства изменены до продажи. Хотя тревожный звонок был еще в апреле — тогда исследователь нашел на китайском маркетплейсе поддельные Ledger, которые отправляли PIN-коды и seed-фразы мошенникам.

Самое неприятное в этой истории — не взлом, а то, что происходит после. Specter проследил адреса злоумышленников и нашел переводы с сотен кошельков жертв в сетях Ethereum, TRON и Bitcoin. Три биткоин-адреса, которые он назвал, держат около 211 BTC. Монеты не двигались.

Блокчейн — открытая книга, и движение денег в нем видно каждому. Для погони за украденным есть целый арсенал:

Адреса известны. Суммы известны. Цепочка переводов открыта. Провести собственное расследование можно, например, при помощи инструментов ЦИФКОМ.

Ledger — не единственный, кто подвел пользователей этим летом. В конце июля владельцы кошельков Coldcard начали терять биткоины из-за уязвимости в прошивке 2021 года — она генерировала слабые ключи, которые злоумышленники смогли подобрать. По оценке Galaxy Research, с 8680 адресов ушло более 1778 BTC на сумму свыше $115 млн, а первая волна унесла $70 млн за 41 минуту.

Самое время злорадствовать тем, кто ушел в ETF. PlanB, создатель модели прогнозирования курса биткоина Stock-to-Flow, напомнил, что еще в 2025 году перевел биткоины в биржевые фонды и получил за это волну критики. Теперь он пишет, что не жалеет и ценит спокойствие.

Сообщество с ним не согласно. Главный аргумент критиков — ETF не убирает риск, а прячет его. Вместо потери ключей — зависимость от фонда и кастодиана, а от конфискации со стороны государства никакой фонд не спасет. Компромисс, который предлагают многие, — держать в ETF часть монет, а остальное оставить в холодном хранении. И проверять коробки.

Ну а для того, чтобы минимизировать риски при работе с криптой, не забывайте пользоваться инструментами ЦИФКОМ для мониторинга транзакций, которые открывают путь к идеальному ПОД/ФТ.