Ledger 15 жовтня 2026 року запровадила нові вимоги до безпеки для своїх авторизованих рітейлерів після того, як зловмисники встановили приховані електронні компоненти всередину справжніх криптовалютних гаманців, щоб викрадати фрази відновлення користувачів і отримувати доступ до їхніх коштів.
Підсумок
- Ledger запровадила суворіші правила для реселерів після того, як злочинці модифікували справжні апаратні гаманці для викрадення криптовалют.
- Приховані імпланти зчитували фрази відновлення гаманця під час налаштування та передавали конфіденційну інформацію через стільникові мережі.
- Ledger призупинила продажі авторизованих реселерів у Південно-Східній Азії та Гонконзі, поки розслідувала скомпрометовані пристрої.
- Команди з безпеки перевірили пристрої в роздрібних магазинах і на складах, повідомивши, що серед досліджених зразків не було скомпрометованих одиниць.
- Ledger доручила рітейлерам припинити виставляти гаманці на показ і заборонити перепродаж повернутих пристроїв без винятків.
Виробник апаратних гаманців підтвердив, що зловмисники придбали справжні пристрої, модифікували їх і повернули в обіг через канали дистрибуції в Південно-Східній Азії. Ledger призупинила регіональні продажі реселерів, перевірила пристрої з роздрібних магазинів і складів та почала співпрацювати з правоохоронними органами для відстеження викрадених коштів.
Компанія стверджує, що її внутрішні системи, операційне програмне забезпечення та чіпи безпеки не були скомпрометовані. Слідчі продовжують встановлювати повний масштаб атаки, зокрема те, як модифіковані пристрої потрапили на ринок.
Атака на гаманці Ledger включала приховані імпланти для фраз відновлення
Розслідування Ledger виявило, що зловмисники витратили місяці на підготовку операції. Вони придбали справжні апаратні гаманці, відкрили пристрої та вставили спеціальні електронні компоненти, призначені для зчитування фраз відновлення під час налаштування.
Фраза відновлення зазвичай містить 24 слова, які дозволяють користувачеві відновити доступ до криптовалютного гаманця. Будь-хто, хто отримає ці слова, потенційно може відтворити гаманець на іншому пристрої та переказати його активи.
Зловмисники скористалися моментом, коли фраза відновлення з’явилася на екрані пристрою. Прихований компонент зібрав слова та передав їх до інфраструктури, контрольованої злочинцями.
У своєму технічному оновленні від 13 жовтня команда безпеки Donjon компанії Ledger пояснила, що імплант використовував мікроконтролер для зчитування фрази та вбудовану SIM-карту для передачі інформації через стільникове з’єднання LTE.
Компанія заявила, що імплант працював незалежно від Secure Element пристрою, який захищає конфіденційну криптографічну інформацію. Слідчі не знайшли доказів того, що шкідливий компонент модифікував операційну систему або змінював підписи транзакцій.
Раніші розслідування прихованих чіпів усередині гаманців Ledger задокументували, як несанкціонована електроніка могла розкривати фрази відновлення, не змінюючи звичайні функції підпису пристрою.
Остання заява Ledger описала організовану злочинну операцію, що включала закупівлю обладнання, домовленості щодо дистрибуції та інфраструктуру для збору викрадених облікових даних гаманців.
Виробник заявив, що група витратила мільйони на підготовку атаки. Він не надав фінансової розбивки та не назвав відповідальних осіб.
Повідомляється, що зловмисники використали зібрані фрази відновлення для доступу до кількох гаманців під час скоординованої крадіжки 9 жовтня.
Хоча незалежні дослідники блокчейну оцінили втрати у понад 86 мільйонів доларів, Ledger не підтвердила загальну викрадену суму або кількість постраждалих клієнтів.
Ledger призупиняє продаж гаманців у Південно-Східній Азії
Після виявлення цього факту Ledger попросила авторизованих реселерів і дистриб'юторів у Південно-Східній Азії та Гонконзі призупинити продаж пристроїв, поки слідчі вивчали уражені канали розповсюдження.
Обмеження охопили Індонезію, Сінгапур, Таїланд, Філіппіни, В'єтнам, Малайзію та Гонконг.
CryptoBilis, реселер, що працює в Південно-Східній Азії, раніше був пов'язаний із підтвердженими випадками модифікованих пристроїв.
Компанія призупинила продаж апаратних гаманців після появи повідомлень про те, що клієнти втратили кошти.
Попередні публікації про розслідування гаманця CryptoBilis задокументували виявлення Ledger несанкціонованого імпланта та її початкову реакцію на скарги клієнтів.
Згодом Ledger розширила свої запобіжні заходи за межі цього реселера після отримання повідомлень, що стосувалися інших локацій.
У Німеччині MediaMarkt Saturn припинила продаж пристроїв Ledger через свої фізичні магазини та онлайн-платформу після повідомлення про імплант у пристрої клієнта.
Ledger заявила, що німецький випадок не призвів до жодної підтвердженої втрати коштів клієнтів.
Інцидент спричинив окреме призупинення продажу гаманців Ledger у Німеччині, поки компанія перевіряла пристрої та розслідувала обставини.
Під час свого оновлення від 15 жовтня Ledger повідомила, що її слідчі придбали пристрої в магазинах на різних ринках, зокрема в Німеччині, та відкрили їх для фізичного огляду.
Компанія перевірила зразки зі складів і проскринувала частину власних запасів.
За даними Ledger, у зразках, перевірених під час цих перевірок, не було виявлено несанкціонованих компонентів.
Однак компанія не розкрила, скільки пристроїв було перевірено, залишивши загальну кількість потенційно уражених продуктів непідтвердженою.
Ledger описала інцидент як «локалізовану атаку на розповсюдження» і наполягала, що її виробничі системи не несуть відповідальності за компрометацію.
Розслідування ще не встановило точно, де саме було модифіковано кожен уражений пристрій.
Ledger запроваджує нові правила для роздрібних продавців апаратних гаманців
У рамках своєї відповіді Ledger зобов'язала авторизованих роздрібних продавців змінити те, як вони зберігають і продають апаратні гаманці.
Роздрібні продавці повинні припинити розміщувати пристрої Ledger на демонстраційних полицях і прилавках. Натомість вони повинні зберігати продукти в складських приміщеннях і передавати їх клієнтам лише під час покупки.
Компанія запровадила ці вимоги негайно, пояснивши, що ці заходи покликані зменшити можливості для несанкціонованого поводження.
Ledger нагадала авторизованим продавцям, що повернені пристрої ніколи не повинні продаватися знову, навіть якщо їхнє пакування виглядає невідкритим або продукт виглядає невикористаним.
Це правило вже існувало, але Ledger доручила дистриб'юторам дотримуватися його без винятків.
Роздрібні продавці повинні негайно повідомляти виробника, коли клієнти повідомляють про незвичайні продукти або потенційно підозріле обладнання.
Компанія посилює нагляд за своєю авторизованою дистриб'юторською мережею, поки розслідування триває.
Ledger заявила, що її команда безпеки провела найбільше внутрішнє розслідування в історії компанії, залучивши кілька відділів.
Фахівці з Ledger Donjon розібрали вилучений імплант і вивчили його роботу, щоб встановити, як зловмисники збирали фрази відновлення.
Виробник співпрацював із дослідниками з безпеки та галузевими партнерами, зокрема SEAL_911, під час розслідування.
За словами Ledger, команди працюють із правоохоронними органами, щоб відстежити викрадені кошти та визначити інфраструктуру, яка використовувалася для збору облікових даних гаманців.
Компанія не розкрила інформації про арешти, офіційні кримінальні звинувачення або повернені кошти в результаті цих зусиль.
Ledger заявила, що має намір опублікувати додаткову технічну інформацію, коли слідчі зможуть безпечно оприлюднити свої висновки.
Ledger планує додаткові засоби захисту від втручання у гаманці
Окрім негайних обмежень роздрібного продажу, Ledger розробляє додаткові заходи безпеки продуктів, покликані ускладнити фізичне втручання.
Компанія не надала технічних специфікацій, переліку уражених моделей продуктів або графіка впровадження цих засобів захисту.
Ledger заявила, що поділиться результатами з іншими виробниками та продавцями апаратних гаманців, щоб вони могли перевірити свої продукти на подібні ризики.
Клієнтам, які вже користувалися потенційно ураженим гаманцем, було рекомендовано переказати свою криптовалюту на довірений пристрій із щойно згенерованою фразою відновлення.
Відновлення старої фрази відновлення на замінювальному пристрої не захистить кошти, якщо зловмисники вже отримали цю фразу.
Рекомендації Ledger щодо безпеки застерігають користувачів ніколи не розкривати свої фрази відновлення будь-кому, хто називає себе представником служби підтримки клієнтів.
Компанія наголосила, що її співробітники не запитуватимуть слова відновлення через повідомлення, телефонні дзвінки чи вебсайти.
Під час свого оголошення 15 жовтня Ledger визнала, що розслідування триває і що ще належить виконати додаткову роботу із забезпечення безпеки.
Виробник підтвердив свій намір оприлюднити додаткові подробиці про атаку та методи, використані злочинцями, щойно його розслідування дозволить розкриття інформації.
