Злам апаратного гаманця Ledger призвів до втрати $93,2 млн

Головне за хвилину:

• Підтверджено апаратну закладку в гаманцях 👉 Ledger Nano X, що призвело до крадіжки $93,2 млн.
• Імплант перехоплює seed-фразу через монітор екрана та передає через LTE-модем.
• Джерело атаки — реселер CryptoBilis у Південно-Східній Азії, продажі зупинено.
• Tether заморозив $10 млн вкрадених USDT, ще $5,35 млн USDC під контролем Circle.
• Genuine Check від Ledger не виявляє фізичні модифікації — тільки автентичність чипа.

Команда аналітиків Octobit розібрала технічні деталі імпланту та масштаб збитків.

Як працює апаратна закладка в Ledger Nano X?

Виробник Ledger підтвердив 10 жовтня 2026 року, що в одному з пристроїв клієнта виявлено несанкціонований електронний імплант. Джерело проблеми — авторизований реселер CryptoBilis, який працює в Південно-Східній Азії. Компанія зупинила продажі всього інвентарю до завершення розслідування.

Експерти Tibane Labs під керівництвом колишнього CEO Mt. Gox Марка Карпелеса дослідили три покоління модифікованих Nano X. Принцип атаки простий, але ефективний: шпигунський чіп перехоплює електронні сигнали між захищеним елементом (Secure Element) та дисплеєм 👉 гаманця.

Коли користувач вперше налаштовує пристрій, генерується seed-фраза з 24 слів — це ключ до всіх коштів. Слова формуються всередині захищеного чипа, але мають пройти через схему дисплея, щоб з’явитися на екрані. Саме тут імплант зчитує дані, реконструює фразу та передає через вбудований LTE-модем з SIM-картою.

Результат? Зловмисники отримують повний доступ до гаманця дистанційно, без потреби красти фізичний пристрій або зламувати сервери Ledger.

Три покоління шпигунських імплантів: еволюція атаки

Дослідження Tibane Labs виявило технічну еволюцію закладок:

• Перше покоління: видиме провідне з’єднання, зменшена батарея для розміщення додаткової електроніки. Легко виявити при розборці.
• Друге покоління: покращена мінітюаризація, але все ще помітні сліди втручання.
• Третє покоління (вересень 2026): кастомна друкована плата під екраном, LTE-модем, антена, компоненти зі стертими маркуваннями. Оригінальна батарея залишена. Пристрій виглядає нормально навіть після відкриття корпусу.

Tibane отримала два зразки через японські маркетплейси — не від CryptoBilis. Це означає, що ланцюг постачання скомпрометовано ширше, ніж один реселер. Ledger не розкрила дизайн імпланту, який вони виявили у клієнта CryptoBilis.

Ключовий момент: Genuine Check від Ledger верифікує тільки автентичність Secure Element, але не може виявити фізичні модифікації навколо нього. Якщо захищений чіп справжній, перевірка проходить успішно — навіть якщо гаманець нашпиговано шпигунською електронікою.

Situation Update: Ledger can confirm that one of the impacted users’ devices contained an unauthorized hardware implant. Ledger is reaching out to impacted users as part of the ongoing investigation. If you have information regarding the investigation, please reach out to…

— Ledger Support (@Ledger_Support) October 10, 2026

Хто постраждав і скільки вкрали?

Два незалежні розслідування дали різні цифри через відмінності в методології:

Galaxy Digital (дослідник Алекс Торн, 9 жовтня): приблизно $91 млн через 477 адрес на Bitcoin, Ethereum-сумісних мережах та Tron. Найбільше постраждав Tron — $64,5 млн, з яких 64,3 млн USDT.

Bitquery (оновлення 11 жовтня): близько $93,2 млн з 315 гаманців на шести блокчейнах. Фірма виявила координовану схему виводу коштів.

Ключова деталь: 25 гаманців Tron підписали одну й ту саму транзакцію token approval протягом трьох секунд. Це дозволило вивести $29 млн USDT майже миттєво. Тестові транзакції відстежено протягом двох тижнів до масштабної крадіжки — зловмисники готувалися ретельно.

Жодне дослідження не порахувало кількість скомпрометованих пристроїв — тільки адреси жертв. Фактична кількість модифікованих Ledger залишається невідомою.

Схожі кейси безпеки та ринкові наслідки ми регулярно аналізуємо в розділі 👉 новини криптовалют.

Що вдалося заморозити та чи є шанс повернути кошти?

Частина вкрадених стейблкоінів потрапила під контроль емітентів:

• Tether заморозив ~$10 млн вкрадених USDT (дані Bitquery на 11 жовтня).
• Circle може заморозити $5,35 млн USDC після того, як кошти пройшли через Tornado Cash та Zcash — міксери для анонімізації.

Це стандартна практика для централізованих стейблкоінів: емітент може «заморозити» токени на конкретних адресах, роблячи їх непереказними. Для Bitcoin та Ethereum такий механізм неможливий — ці активи втрачено безповоротно, якщо зловмисники виведуть їх через міксери або 👉 DEX.

Аналітик CryptoQuant під ніком Darkfost запропонував перевірити інших регіональних реселерів на можливе проникнення в ланцюг постачання, але підкреслив, що це спекуляція без підтвердження.

Ledger заявила, що контактує з постраждалими, співпрацює з правоохоронними органами та працює над посиленням 👉 захисту від фізичних втручань. Клієнтам, які купили пристрої у CryptoBilis, рекомендовано не ініціалізувати нові гаманці. Якщо setup вже завершено — терміново перенести кошти на довірений пристрій з новою seed-фразою.

💥 Вплив на ринок

Цей інцидент показує критичну вразливість ланцюга постачання апаратних гаманців. Навіть «найбезпечніші» пристрої можуть бути скомпрометовані до того, як потраплять до користувача. Genuine Check не рятує від фізичних закладок — це не баг, а обмеження дизайну. Ринок побачить посилення паранойї щодо джерел покупки: тільки офіційний сайт, тільки пряма доставка. Реселери під підозрою.