Взлом аппаратного кошелька Ledger привел к потере $93,2 млн

Главное за минуту:

• Подтверждена аппаратная закладка в кошельках 👉 Ledger Nano X, что привело к краже $93,2 млн.
• Имплант перехватывает seed-фразу через монитор экрана и передает через LTE-модем.
• Источник атаки — реселлер CryptoBilis в Юго-Восточной Азии, продажи остановлены.
• Tether заморозил $10 млн украденных USDT, еще $5,35 млн USDC под контролем Circle.
• Genuine Check от Ledger не обнаруживает физические модификации — только подлинность чипа.

Команда аналитиков Octobit разобрала технические детали импланта и масштаб ущерба.

Как работает аппаратная закладка в Ledger Nano X?

Производитель Ledger подтвердил 10 октября 2026 года, что в одном из устройств клиента обнаружен несанкционированный электронный имплант. Источник проблемы — авторизованный реселлер CryptoBilis, который работает в Юго-Восточной Азии. Компания остановила продажи всего инвентаря до завершения расследования.

Эксперты Tibane Labs под руководством бывшего CEO Mt. Gox Марка Карпелеса исследовали три поколения модифицированных Nano X. Принцип атаки простой, но эффективный: шпионский чип перехватывает электронные сигналы между защищенным элементом (Secure Element) и дисплеем 👉 кошелька.

Когда пользователь впервые настраивает устройство, генерируется seed-фраза из 24 слов — это ключ ко всем средствам. Слова формируются внутри защищенного чипа, но должны пройти через схему дисплея, чтобы появиться на экране. Именно здесь имплант считывает данные, реконструирует фразу и передает через встроенный LTE-модем с SIM-картой.

Результат? Злоумышленники получают полный доступ к кошельку дистанционно, без необходимости красть физическое устройство или взламывать серверы Ledger.

Три поколения шпионских имплантов: эволюция атаки

Исследование Tibane Labs выявило техническую эволюцию закладок:

• Первое поколение: видимое проводное соединение, уменьшенная батарея для размещения дополнительной электроники. Легко обнаружить при разборке.
• Второе поколение: улучшенная миниатюризация, но все еще заметны следы вмешательства.
• Третье поколение (сентябрь 2026): кастомная печатная плата под экраном, LTE-модем, антенна, компоненты со стертыми маркировками. Оригинальная батарея оставлена. Устройство выглядит нормально даже после вскрытия корпуса.

Tibane получила два образца через японские маркетплейсы — не от CryptoBilis. Это означает, что цепь поставок скомпрометирована шире, чем один реселлер. Ledger не раскрыла дизайн импланта, который они обнаружили у клиента CryptoBilis.

Ключевой момент: Genuine Check от Ledger верифицирует только подлинность Secure Element, но не может обнаружить физические модификации вокруг него. Если защищенный чип настоящий, проверка проходит успешно — даже если кошелек нашпигован шпионской электроникой.

Situation Update: Ledger can confirm that one of the impacted users’ devices contained an unauthorized hardware implant. Ledger is reaching out to impacted users as part of the ongoing investigation. If you have information regarding the investigation, please reach out to…

— Ledger Support (@Ledger_Support) October 10, 2026

Кто пострадал и сколько украли?

Два независимых расследования дали разные цифры из-за различий в методологии:

Galaxy Digital (исследователь Алекс Торн, 9 октября): примерно $91 млн через 477 адресов на Bitcoin, Ethereum-совместимых сетях и Tron. Больше всего пострадал Tron — $64,5 млн, из которых 64,3 млн USDT.

Bitquery (обновление 11 октября): около $93,2 млн с 315 кошельков на шести блокчейнах. Фирма обнаружила координированную схему вывода средств.

Ключевая деталь: 25 кошельков Tron подписали одну и ту же транзакцию token approval в течение трех секунд. Это позволило вывести $29 млн USDT почти мгновенно. Тестовые транзакции отслежены в течение двух недель до масштабной кражи — злоумышленники готовились тщательно.

Ни одно исследование не посчитало количество скомпрометированных устройств — только адреса жертв. Фактическое количество модифицированных Ledger остается неизвестным.

Похожие кейсы безопасности и рыночные последствия мы регулярно анализируем в разделе 👉 новости криптовалют.

Что удалось заморозить и есть ли шанс вернуть средства?

Часть украденных стейблкоинов попала под контроль эмитентов:

• Tether заморозил ~$10 млн украденных USDT (данные Bitquery на 11 октября).
• Circle может заморозить $5,35 млн USDC после того, как средства прошли через Tornado Cash и Zcash — миксеры для анонимизации.

Это стандартная практика для централизованных стейблкоинов: эмитент может «заморозить» токены на конкретных адресах, делая их непереводимыми. Для Bitcoin и Ethereum такой механизм невозможен — эти активы утрачены безвозвратно, если злоумышленники выведут их через миксеры или 👉 DEX.

Аналитик CryptoQuant под ником Darkfost предложил проверить других региональных реселлеров на возможное проникновение в цепь поставок, но подчеркнул, что это спекуляция без подтверждения.

Ledger заявила, что связывается с пострадавшими, сотрудничает с правоохранительными органами и работает над усилением 👉 защиты от физических вмешательств. Клиентам, которые купили устройства у CryptoBilis, рекомендовано не инициализировать новые кошельки. Если setup уже завершен — срочно перенести средства на доверенное устройство с новой seed-фразой.

💥 Влияние на рынок

Этот инцидент показывает критическую уязвимость цепи поставок аппаратных кошельков. Даже «самые безопасные» устройства могут быть скомпрометированы до того, как попадут к пользователю. Genuine Check не спасает от физических закладок — это не баг, а ограничение дизайна. Рынок увидит усиление паранойи относительно источников покупки: только официальный сайт, только прямая доставка. Реселлеры под подозрением.