Автор: Шао Цзядань
Недавно Ledger оказалась втянута в инцидент с потерей активов. Некоторые пользователи из Юго-Восточной Азии сообщили, что после покупки аппаратных кошельков у реселлера CryptoBilis активы на их кошельках были переведены. 9 октября Ledger объявила, что начала расследование, попросила этого реселлера приостановить продажи и отгрузку и напомнила недавним покупателям воздержаться от настройки своих устройств, а пользователям, которые уже их настроили, следует рассмотреть возможность миграции своих активов.
10 октября Ledger дополнительно заявила, что в устройстве одного пострадавшего пользователя была обнаружена несанкционированная аппаратная закладка. Компания тогда сообщила, что подтвердила связь этих случаев с устройствами, проданными этим реселлером, и что не было обнаружено признаков вторжения в её инфраструктуру безопасности, системы или сервисы.
Согласно статистике Bitquery, связанные оттоки активов затронули 315 кошельков и составили примерно 93,2 миллиона долларов. Это сторонняя статистика, и Ledger пока не подтвердила окончательный масштаб потерь. По состоянию на 12 октября всё ещё ведётся расследование того, на каком этапе устройства были подвергнуты вмешательству и связана ли закладка со всеми потерями.
Многие люди выбирают аппаратные кошельки именно потому, что надеются хранить свои активы более безопасно. Теперь, когда сообщения пользователей о потерях и аномалиях на устройствах появились одновременно, это неизбежно вызывает беспокойство. Определение причины атаки требует профессионального тестирования, а что касается того, может ли это обнаружение объяснить все потери, полного вывода пока нет. Для других команд кошельков этот инцидент уже поднял вопрос, достойный обсуждения: когда пользователи доверяют кошельку, каким именно звеньям цепочки они на самом деле доверяют?
Источник изображения: The Block, отчёт от 9 октября 2026 года. Сумма на скриншоте является предварительной оценкой, масштаб потерь всё ещё проверяется.
Что делает этот инцидент тревожным, так это то, что CryptoBilis ранее находился в официальном списке авторизованных реселлеров Ledger. Пользователи, которые заходили на официальный сайт, чтобы проверить список, и покупали через авторизованные каналы, уже тщательно избегали риска. Теперь и этот путь покупки также попал в сферу расследования. Для других аппаратных кошельков и приложений некастодиальных кошельков достойно обсуждения следующее: когда пользователи доверяют бренду, достаточно ли чётко изложены обязательства, которые берёт на себя производитель, и ответственность, которую он несёт?
01 | Доверие, приносимое «официальной авторизацией», — это то, к чему брендам нужно относиться серьёзно
Обычным пользователям очень трудно узнать, через что прошло устройство после выхода с завода. Когда они выбирают авторизованного реселлера, они обычно верят, что бренд уже проверил канал. Поэтому, когда у реселлера возникает проблема, пользователи, естественно, также будут искать объяснений и помощи у бренда.
Например, пользователь, обеспокоенный покупкой поддельного продукта, специально проверил список реселлеров на официальном сайте бренда, а затем оформил заказ в магазине из этого списка. Причина, по которой этот магазин завоевал его доверие, включала как факторы, связанные с самим магазином, так и роль рекомендации бренда. Если бы позже у устройства возникла проблема, ему было бы трудно принять, что бренд и продавец говорят ему «идите к другой стороне». Это понятная реакция пользователя, хотя юридическая ответственность всё ещё требует дальнейшего уточнения.
Бренды и реселлеры часто являются двумя разными хозяйствующими субъектами, и пользователи обычно не могут увидеть договоры между ними или распределение послепродажной ответственности. Если то, что включает авторизация, на каких этапах участвовал бренд и какая помощь предоставляется после возникновения аномалии, изложено вовне расплывчато, легко может возникнуть разрыв между ожиданиями пользователей и фактическими договорённостями обеих сторон.
Пользователям, возможно, не обязательно важно, как бренд и реселлер управляют друг другом и сотрудничают, но эти договорённости повлияют на то, как будут урегулированы дела после возникновения инцидента. Сколько управленческих полномочий имеет бренд в отношении канала, кто сообщает об аномалиях, кто связывается с пользователями и кто отвечает за послепродажное обслуживание, — всё это желательно чётко оговаривать при сотрудничестве.
С точки зрения договорных отношений ценность таких соглашений заключается в снижении количества споров после инцидента. Сможет ли реселлер предоставить записи о покупке, сможет ли бренд напрямую связаться с соответствующими пользователями и как обе стороны будут сотрудничать в ходе расследования — всё это повлияет на то, как будут развиваться события. Конкретный способ управления каналами продаж необходимо определять с учётом мнения бизнес-подразделения и команды безопасности; как минимум обе стороны должны знать, что они обещали и в чём им необходимо сотрудничать в случае возникновения проблемы.
Несёт ли бренд ответственность и в каком объёме — зависит от того, какая проблема возникла с устройством, какие обязательства взяла на себя каждая из сторон и какова связь между соответствующими действиями и убытками. Но поскольку «официальная авторизация» участвовала в принятии пользователями решения о покупке, бренду необходимо серьёзно относиться к доверию, которое она порождает.
Для других производителей аппаратных кошельков авторизационные отношения заслуживают пересмотра. Когда официальный сайт рекомендует определённый канал, как пользователи поймут эту рекомендацию? Если в период сотрудничества произойдут изменения, смогут ли первоначальные договорённости продолжать действовать? Эти вопросы связаны с тем, как бренд использует слова «официальная авторизация», а также с тем, к кому пользователи будут предъявлять свои права после возникновения убытков.
02 | Как бы ни была велика безопасность, обязательства должны ограничиваться её пределами
Исследовательская группа по безопасности Ledger Donjon пояснила в публичных материалах, что Genuine Check в основном проверяет подлинность защищенного чипа. Пока оригинальный защищенный чип остаётся нетронутым, некоторые дополнительные аппаратные модификации могут остаться невыявленными. Эта проверка также не может подтвердить полную историю продаж и доставки устройства.
Для пользователей «проверка пройдена» легко понимается как «устройство безопасно, и его можно использовать с уверенностью». Если фактический объём проверки, выполняемой продуктом, уже, необходимо чётко объяснить это различие. Являются ли уведомления о безопасности понятными для обычных пользователей — это также часть обязательств продукта.
Сложность здесь заключается в том, что технические команды и обычные пользователи могут понимать одно и то же предложение по-разному. Технические специалисты знают, какой компонент проверяет та или иная проверка, тогда как пользователи могут видеть лишь зелёную отметку. Сама проверка выполнила поставленную перед ней задачу, но пользователи всё равно могут переоценить обеспечиваемую ею защиту. Описания продукта должны учитывать это различие в понимании.
Если страница покупки неоднократно подчёркивает безопасность, а ключевые ограничения размещены только в инструкциях, которые пользователям очень трудно найти, то в споре могут возникнуть две позиции: производитель считает, что он всё уже объяснил, а пользователи считают, что им никогда не напоминали об этом при покупке и использовании продукта. Является ли это введением в заблуждение и достаточны ли уведомления — требует изучения конкретных страниц и применимого законодательства. Но более чёткое объяснение ограничений действительно может помочь уменьшить такие разногласия.
У приложений некастодиальных кошельков есть схожие проблемы. «Открытый исходный код», «прошёл аудит» и «приватные ключи хранятся у пользователей» — каждое из этих утверждений объясняет определённую особенность продукта. Пользователи могут сформировать на их основе более широкие ожидания в отношении безопасности. Когда производители продвигают свои продукты, точное объяснение объёма этих возможностей помогает уменьшить недопонимание и также может сократить будущие споры об ответственности.
Например, некое приложение описывает себя как прошедшее аудит безопасности. Пользователи могут понять это предложение так, что всё будущее использование будет безопасным, тогда как аудит обычно имеет соответствующий объект, версию и объём. Точное объяснение этой информации не ослабляет возможностей, которыми продукт уже обладает. Оно даёт пользователям возможность понять, какие именно утверждения подтверждает конкретный отчёт об аудите.
Конечно, производителям кошельков очень трудно гарантировать, что все риски исчезнут. Нас больше интересует, соответствуют ли внешние обязательства фактическим возможностям и доводятся ли важные ограничения до сведения пользователей. Чем больше разрыв между продвижением, описаниями безопасности и пользовательскими соглашениями, тем легче после инцидента возникают споры о том, «что именно было обещано в то время».
Источник изображения: официальный сайт Ledger Donjon, скриншот от 12 октября 2026 года. На странице объясняются ограничения Genuine Check в обнаружении дополнительных аппаратных модификаций.
03 | Закрытые ключи хранятся у пользователей, но у продуктов и услуг по-прежнему есть свои соответствующие обязанности
В некастодиальных кошельках пользователи обычно владеют закрытыми ключами или полномочиями на подписание. Пользователям необходимо обеспечивать сохранность информации для восстановления и тщательно проверять транзакции. Но пользователи по-прежнему полагаются на производителей в вопросах предоставления устройств, программного обеспечения и информации на страницах. Если в этих звеньях возникают проблемы, фраза «мы не храним закрытые ключи» не отвечает ни на вопрос о причине инцидента, ни на вопрос о распределении ответственности.
Когда пользователи используют некастодиальный кошелек, они могут нести ответственность за самостоятельное подписание, но содержание транзакций, которое они видят, точки входа для обмена, которые они используют, и обновления программного обеспечения, которые они получают, по-прежнему исходят от кошелька и его партнеров. Здесь присутствуют разные участники, а также разные задачи. Тот факт, что активы контролируются пользователями, не устраняет эти сервисные отношения.
Например, пользователь использует в кошельке сторонний сервис обмена и позже обнаруживает, что с транзакцией возникла проблема. Пользователю необходимо знать, кто предоставляет услугу, до какого этапа задействован кошелек и на каком звене возникла проблема. Кошелек может лишь отображать точку входа, а может и участвовать в формировании и отображении содержания транзакции; разные ситуации по-разному повлияют на определение ответственности. Брендовые обозначения на странице и «сторонние услуги» в договоре также необходимо рассматривать в контексте фактического процесса.
С точки зрения юриста, продуктовые обязательства, раскрытие рисков, договоры о сотрудничестве и пользовательские соглашения являются важными материалами для обсуждения этих вопросов. Они могут помочь восстановить, о чем договорились стороны, но их по-прежнему необходимо сопоставлять с фактически предоставленными продуктами и услугами. Общий ярлык «некастодиальный» вряд ли может объяснить все отношения.
Будут различия в определении ответственности между случаем, когда пользователь раскрыл свою мнемоническую фразу, и убытками, вызванными дефектами устройства, уязвимостями программного обеспечения или вводящей в заблуждение рекламой. Пользовательские соглашения могут предусматривать обязанности каждой стороны, но эффективность положений об освобождении от ответственности по-прежнему зависит от применимого права и конкретных обстоятельств. Что касается этого инцидента с Ledger, все еще необходимо дождаться завершения расследования, чтобы установить факты, прежде чем обсуждать компенсацию.
Коммуникация после инцидента также влияет на то, смогут ли пользователи продолжать доверять продукту. Пока расследование еще продолжается, производители могут объяснить известные на данный момент факты, проблемы, которые решаются, и где пользователи могут получить помощь. В отношении вопросов, которые еще не определены, оставить необходимое пространство для неопределенности благоразумнее, чем поспешно заверять, что «проблем нет».
Приостановка определенного канала, содействие расследованию или предоставление заменяющих устройств — все это конкретные меры в рамках урегулирования инцидента. Ответственность за компенсацию по-прежнему необходимо определять на основе результатов расследования и соглашений участвующих сторон. Возможность успешного возврата активов также зависит от того, куда ушли средства, и от полномочий соответствующих учреждений. Пользователям необходимо знать, какая поддержка доступна в настоящее время и как они впоследствии могут реализовать свои требования.
Резюме юриста Манькунь
Техническая причина инцидента с Ledger еще должна быть установлена профессиональной командой. Как юристы, мы в большей степени concerned с relationship между доверием пользователей и обязательствами участвующих сторон: могут ли авторизация на официальном сайте, заявления о безопасности на страницах и положения об ответственности в соглашениях соответствовать продуктам и услугам, которые пользователи фактически получают.
Другие команды кошельков могут пересмотреть свой собственный бизнес с этой точки зрения. Пользователи, владеющие собственными активами, должны нести соответствующую ответственность за их хранение; то, что предоставляют и обещают производители, также стоит четко объяснить. Относительно согласованное понимание всех сторон по этим вопросам помогает уменьшить недоразумения в обычное время и облегчает обсуждение того, что делать дальше, когда возникают проблемы.
