Безопасность холодных кошельков: что показал октябрь 2026 года и как действовать владельцам

С 9 по 13 октября 2026 года у владельцев аппаратных кошельков появилось сразу несколько поводов для тревоги. Компания Ledger подтвердила, что в устройствах, проданных через юго-восточного реселлера CryptoBilis, находился посторонний аппаратный имплант, передававший seed-фразу по сотовой сети. Аналитики оценивают потери в диапазоне от 86 до 103 млн долларов. Сеть MediaMarkt Saturn приостановила продажи Ledger после обращения покупателя из Германии, а производитель кошельков Tangem сообщил об инциденте с данными клиентов.

Если ваши средства лежат на холодном кошельке, вопрос один: насколько они в безопасности сейчас. Ниже разобрано, что подтверждено, что пока остаётся оценками и какие шаги могут помочь снизить риски.

9 октября Ledger сообщила, что расследует потери средств у пользователей, и попросила CryptoBilis приостановить продажи. В тот же день ончейн-исследователь Specter написал о возможной краже более 86 млн долларов. 12 октября компания Bitquery насчитала около 93,2 млн долларов с 315 кошельков в шести блокчейнах. Она учитывала только активы, которые напрямую покинули кошельки жертв, и брала цены на 9 октября. Аналитическая платформа YFarmX называет другие цифры: 530 кошельков и 103,4 млн долларов. Сама Ledger заявила, что эти данные принадлежат третьим сторонам и полностью ею не проверены.

13 октября команда безопасности Ledger Donjon описала механизм в соцсети X. По её словам, имплант представляет собой отдельный компонент внутри корпуса, который считывает данные с экрана устройства. Во время первичной настройки на экране отображаются 24 слова seed-фразы, микроконтроллер импланта распознаёт их и отправляет по LTE через предустановленную eSIM. Secure Element и операционная система Ledger при этом остаются без изменений, а транзакции и подписи имплант не подменяет. У злоумышленника оказывается seed-фраза, поэтому он может восстановить кошелёк на любом другом устройстве и вывести средства без доступа к самому кошельку.

Реакция других производителей последовала в те же дни. OneKey отозвала авторизацию CryptoBilis и предложила бесплатную замену своих устройств, купленных через него с 1 марта по 13 октября 2026 года. Trezor сообщил, что среди проданных через CryptoBilis устройств подменённых не нашлось. Компания всё равно исключила этого реселлера и сократила сеть партнёров: у отключаемых реселлеров авторизация закончится 1 января 2027 года.

Аппаратный кошелёк хранит ключи в защищённом чипе, Secure Element. В случае с CryptoBilis этот чип остался настоящим, поэтому вмешательство трудно заметить. Ledger в своей документации указывает, что проверка Genuine Check подтверждает подлинность защищённого чипа, но не обнаруживает несанкционированные физические изменения, например шпионские импланты, если сам чип не тронут.

Один из таких случаев описал Марк Карпелес, бывший глава биржи Mt. Gox. Он сообщил, что Ledger Flex, купленный в сингапурском аэропорту, содержал шпионский имплант. По его словам, устройство пришло в целой термоплёнке и прошло Genuine Check, потому что «защитный чип внутри настоящий». Дополнительная плата с микроконтроллером, антенной, LTE-чипом и eSIM лежала под экраном, там, где обычно находится заполнение дисплея. Единственный надёжный способ её найти, считает Карпелес, это вскрыть устройство. Ledger связь этого случая с историей CryptoBilis не подтвердила.

Самый уязвимый момент в жизни кошелька наступает при первой настройке. Seed-фраза создаётся именно тогда и проходит через дисплей, за которым следит имплант. Исследователи, изучавшие подобные устройства, рекомендуют считать фразу, показанную на скомпрометированном устройстве, раскрытой. Поэтому Ledger советует покупателям CryptoBilis не инициализировать новые устройства, а тем, кто уже прошёл настройку, переводить средства на новый кошелёк с новой seed-фразой.

Для обычного владельца отсюда следует неприятный вывод: целая упаковка, внешний вид и успешная проверка подлинности не гарантируют отсутствия лишней платы. Ledger выпустила руководство по вскрытию и осмотру устройства, но предупреждает, что вскрытие может его повредить. Остаётся защита на уровне покупки и хранения: где куплен кошелёк и как организованы средства после первой настройки. Об этом пойдёт речь в разделе с практическими шагами.

Ledger сообщает, что все подтверждённые потери связаны с устройствами CryptoBilis. Слив с кошелька, купленного в другом месте, компания не подтверждала, но проверяет сообщения об имплантах в других устройствах и регионах. Число пострадавших и общую сумму ущерба Ledger тоже не подтвердила.

По оценке Bitquery, основная часть потерь пришлась на сеть TRON, около 70,5 млн долларов. Сроки остаются размытыми. OneKey взяла для замены устройств период с 1 марта, Ledger советует проверить покупки за 90 дней, а Bitquery отмечает, что большинство опустошённых кошельков впервые получили средства в июне или позже. Значит, под риском могут оказаться устройства, купленные с лета.

Случаи за пределами CryptoBilis пока остаются сообщениями без подтверждения Ledger. MediaMarkt Saturn остановила продажи после обращения покупателя из Германии, при этом Ledger сообщает, что убытков в этом случае не было. Сингапурский случай Карпелеса с историей CryptoBilis компания не связала. Размер проблемы станет понятен после завершения расследования.

Проблемы с холодными кошельками возникали и раньше. После утечки клиентских данных Ledger в 2020 году злоумышленники рассылали владельцам изменённые устройства для кражи криптовалюты. Исследователи Tibane Labs описали три поколения имплантов в Ledger Nano X, два образца 2026 года куплены на японских маркетплейсах.

В августе 2026 года у Trezor произошла утечка через сторонний сервис доставки ShipMonk. Были раскрыты имя, email, телефон, адрес и номер заказа, а сами устройства и ключи, по данным компании, не пострадали. Позже число затронутых клиентов выросло до 80 689.

Отдельный случай связан с ошибкой в прошивке. По данным TRM Labs, в версии Coldcard 4.0.1 (март 2021 года) из-за ошибки сборки seed-фраза генерировалась слабым программным генератором случайных чисел. Атаки начались 30 июля 2026 года, и с более чем 5 200 адресов вывели около 1 816 BTC, примерно 116 млн долларов. Seed-фразу, созданную на уязвимой прошивке, TRM советует считать скомпрометированной.

Механизмы разные: подмена при поставке, утечка данных клиентов, ошибка в прошивке. Общее у них одно: слабым звеном оказывается всё, что окружает защищённый чип, а не сам чип.

В октябре Tangem сообщила о несанкционированном доступе к стороннему сервису поддержки клиентов. По приведенным данным, могли быть раскрыты имена и email-адреса части клиентов, а кошельки, ключи, seed-фразы и средства не затронуты. Главный риск здесь фишинг: письма, похожие на обращение поддержки, могут быть поддельными.

Отдельная история касается самих карт. В июле исследователи Ledger Donjon описали атаку, при которой лазерный импульс позволяет задать новый пароль карты без старого. Для неё нужны физический доступ к карте и лабораторное оборудование стоимостью около 250 тыс. долларов. Tangem называет практический риск для обычных пользователей «практически несуществующим». Исправить уязвимость на выпущенных картах нельзя, поэтому риск касается прежде всего потерянной или украденной карты.

Ни одна мера не даёт стопроцентной защиты, но несколько шагов заметно снижают риск.

Покупайте у производителя или его авторизованных партнёров. После этой истории Trezor сокращает сеть реселлеров, а Ledger советует при замене брать устройство напрямую у компании. Целая упаковка не гарантирует отсутствия лишней платы, поэтому источник покупки важнее внешнего вида.
Не пользуйтесь устройствами CryptoBilis. Ledger советует не запускать такой кошелёк, если он ещё не настроен. Если настройка уже проведена, средства стоит перевести на новое устройство с новой seed-фразой.
Разделите хранение на несколько кошельков. Если один из них окажется скомпрометирован, под угрозой будет только часть средств.
Сделайте пробное пополнение. Положите на новый кошелёк небольшую сумму, например около 1 000 долларов, и подождите несколько недель. Только потом переводите остальное. Приём снижает риск, но не устраняет его: он сработает, только если злоумышленник не станет выжидать.
Ждите фишинга. После утечек данных мошенники часто пишут от имени производителей. Ledger напоминает, что не звонит, не пишет в личные сообщения и не просит 24 слова, а Trezor советует никогда не вводить резервную фразу на сайтах.

Абсолютно безопасных кошельков не бывает, и события октября 2026 года показывают, где находятся слабые места: поставка устройства, данные клиентов, прошивка. Защищённый чип в этих историях оставался целым. Разумный минимум для владельца складывается из трёх шагов: надёжный источник покупки, проверка нового устройства небольшой суммой и разделение средств между несколькими кошельками. Базовые проверки перед первым переводом подробнее разобраны в материале «Чек-лист безопасности криптокошелька - что проверить, прежде чем перевести туда деньги».

Для майнеров вопрос хранения встаёт сразу: выплаты приходят регулярно, и накопленные монеты нужно где-то держать. Пул K8X выплачивает намайненное в BTC, LTC, DOGE и ZEC, порог выплаты в BTC начинается от 0,0002, а адреса проходят AML-проверку. Небольшие суммы на старте удобно использовать как пробное пополнение нового кошелька, а места для хранения стоит выбрать заранее, пока на нём ещё нет крупных сумм.

В нашем Telegram - новости рынка и оперативная помощь пользователям -