Ledger сообщила 13 октября, а 15 октября опубликовала подробный ответ: несанкционированный имплант с LTE-модулем в устройствах юго-восточноазиатского реселлера CryptoBilis считывал с экрана 24-словные seed-фразы и передавал их по мобильной сети. По заявлению компании, преступная группа месяцами покупала подлинные устройства, вскрывала их, ставила скрытые компоненты и возвращала в продажу через реселлеров в Юго-Восточной Азии. Оценки ущерба расходятся от $72 млн до $102 млн, Ledger ни одну не подтвердила. Tether заморозил около $10 млн по 20 адресам, через Tornado Cash прошло около 2 990 ETH. Это не взлом программного обеспечения Ledger — атака велась на физическом уровне, через изменённые устройства. В статье — хронология от первых тестовых транзакций до новых требований к ретейлерам, громкие случаи с имплантами в Nano X и Flex, споры об ответственности и реакция Trezor с OneKey.
Коротко
- Ledger сообщила 13 октября, а 15 октября опубликовала подробный ответ: имплант в устройствах юго-восточноазиатского реселлера CryptoBilis считывал seed-фразы с экрана и передавал их по мобильной сети.
- Оценки ущерба расходятся от $72 млн до $102 млн, 315–521 адрес в шести-семи блокчейнах; около $70,5 млн украдено в TRON, $16,8 млн — в Bitcoin.
- Марк Карпелес показал имплант в Ledger Nano X с LTE и eSIM, перехватывающий экран и нажатия кнопок; устройство куплено через китайского продавца с отправкой из Малайзии.
- Trezor исключил CryptoBilis из реселлеров и объявил о сокращении сети; OneKey предлагает бесплатную замену устройств, купленных у CryptoBilis с 1 марта.
- Ledger ввела новые требования для ретейлеров: не держать устройства на полках, сразу сообщать о подозрительных продуктах, не продавать возвраты.
Что произошло: имплант в устройствах Ledger от реселлера CryptoBilis
Ledger сообщила 13 октября, а 15 октября опубликовала подробный ответ о физической атаке на канал дистрибуции. Несанкционированный имплант с LTE-модулем в части устройств юго-восточноазиатского реселлера CryptoBilis считывал с экрана 24-словные seed-фразы и передавал их по мобильной сети. Ledger подчёркивает: программное обеспечение компании и её внутренние системы не взломаны, атака велась на физическом уровне.
По словам Ledger, высокоорганизованная преступная группа много месяцев покупала подлинные устройства, вскрывала их, ставила скрытые компоненты и возвращала в продажу через реселлеров в Юго-Восточной Азии. У группы были серверы сбора seed-фраз, инфраструктура вывода и отмывания средств, она потратила миллионы. Это утверждение самой Ledger, независимо оно не проверено. Имён подозреваемых в источниках нет.
Ledger — парижская компания, основанная в 2014 году. К началу 2026 года она заявляла о более чем 7 млн проданных устройств и около 20% мировых криптоактивов под защитой, по данным Crypto Briefing. Maddyness в тот же период писало о более чем 8 млн устройств, так что источники расходятся.
Как работала схема
Ledger описывает операцию как многоэтапную. Преступная группа покупала подлинные устройства Ledger, вскрывала корпуса, устанавливала скрытые компоненты — имплант с LTE-модулем и eSIM — и возвращала в продажу. Модифицированные устройства продавались через реселлеров в Юго-Восточной Азии, в первую очередь через CryptoBilis.
Имплант перехватывал вывод на экран устройства и нажатия кнопок пользователя. Когда владелец инициализировал кошелёк и записывал seed-фразу, имплант считывал её и передавал по мобильной сети на серверы группы. Дальше средства выводились и отмывались через Tornado Cash и другие каналы.
По заявлению Ledger, у группы была инфраструктура с серверами сбора данных, каналами вывода и отмывания средств. Компания утверждает, что на подготовку были потрачены миллионы. Независимо эти данные не проверены, имена и количество подозреваемых не раскрыты. Правоохранительные органы, по словам Ledger, подключены к расследованию, но об арестах, обысках или обвинениях в найденных материалах ничего нет.
Хронология: от первых транзакций до новых требований к ретейлерам
25 сентября адреса, связанные с кражей, получили первое финансирование. Затем между 26 сентября и 7 октября прошли 21 тестовая транзакция в TRON и 20 в Ethereum, по данным Crypto Times. Преступники проверяли инфраструктуру вывода.
9 октября в 12:24 UTC аналитик Specter опубликовал первый тревожный сигнал. Ledger начала расследование, по данным BleepingComputer. 10 октября компания подтвердила несанкционированный аппаратный имплант в устройстве одного из пострадавших, как сообщает Tom's Hardware.
11 октября Bitquery оценила хищения в $93,2 млн. Tether заморозил около $10 млн USDT по 20 адресам, по данным CoinDesk. 12 октября Trezor исключил CryptoBilis из списка своих реселлеров.
13 октября Ledger попросила продавцов в семи рынках приостановить продажи. MediaMarkt Saturn прекратила продажи устройств Ledger. Trezor объявил о сокращении сети реселлеров. 14 октября Ledger сообщила, что проверила технику в Германии, включая названные магазины, и следов вмешательства не нашла.
15 октября Ledger ввела новые требования к авторизованным ретейлерам, как пишет crypto.news. В тот же день на Ledger Op3n компания представила устройство Ledger Atom — по описанию Ledger, первое с повседневными приложениями и встроенной связью 5G.
Хронология событий октября 2026 года по данным Ledger и медиа
| Дата | Событие | Источник |
|---|---|---|
| 2026-09-25 | Первое финансирование адресов, связанных с кражей | Crypto Times |
| 2026-09-26–2026-10-07 | 21 тестовая транзакция в TRON и 20 в Ethereum | Crypto Times |
| 2026-10-09 | Первый сигнал от аналитика Specter в 12:24 UTC; начало расследования Ledger | BleepingComputer |
| 2026-10-10 | Ledger подтверждает несанкционированный аппаратный имплант | Tom's Hardware |
| 2026-10-11 | Bitquery оценивает хищения в $93,2 млн; Tether замораживает около $10 млн | CoinDesk |
| 2026-10-12 | Trezor исключает CryptoBilis из реселлеров | Decrypt |
| 2026-10-13 | Ledger просит продавцов в семи рынках приостановить продажи; MediaMarkt Saturn прекращает продажи | BleepingComputer |
| 2026-10-14 | Ledger сообщает, что проверила технику в Германии, следов вмешательства не нашла | Tom's Hardware |
| 2026-10-15 | Ledger вводит новые требования к ретейлерам; представлен Ledger Atom | crypto.news, Ledger |
Масштаб ущерба: оценки расходятся
Bitquery на 11 октября оценила хищения в $93,2 млн по 315 кошелькам в шести блокчейнах, как сообщает CoinDesk. Структура по Bitquery: около $70,5 млн в TRON, $16,8 млн в Bitcoin, $3,7 млн в Ethereum. YFarmX называл $94,5 млн по 521 адресу в семи блокчейнах, по тем же данным CoinDesk. Specter оценивал ущерб более чем в $86 млн, как пишет Yahoo Finance.
KuCoin 13 октября со ссылкой на Bitquery назвал $102 млн по 324 кошелькам. CoinCentral в обзоре даёт диапазон $72–93 млн. Crypto Times на 11 октября писал, что прослеживаемо ещё около $81 млн.
Tether заморозил около $10 млн по 20 адресам. Через Tornado Cash за два дня на 11 октября прошло около 2 990 ETH. Ledger ни одну цифру не подтвердила.
Оценки ущерба от взлома Ledger по разным источникам
| Источник | Сумма | Адреса / кошельки | Блокчейны |
|---|---|---|---|
| Bitquery | $93,2 млн | 315 | 6 |
| YFarmX | $94,5 млн | 521 | 7 |
| Specter | более $86 млн | — | — |
| Bitquery (по KuCoin) | $102 млн | 324 | — |
| CoinCentral | $72–93 млн | — | — |
Громкие случаи: Марк Карпелес и найденные импланты
Марк Карпелес, бывший CEO Mt. Gox и основатель Karpelès Lab, показал имплант в Ledger Nano X. Имплант перехватывает вывод экрана и нажатия кнопок и передаёт данные по LTE через eSIM. Его устройство было куплено через китайского продавца с отправкой из Малайзии, как пишет Yahoo Finance.
Карпелес разобрал и Ledger Flex, купленный у Metapod в аэропорту Чанги в Сингапуре. Устройство принадлежало Бену Йорку из WOO, который заметил подозрительные следы и отправил его на проверку. Позже Карпелес заявил, что нашёл имплант и в Nano X из MediaMarkt в Германии.
Ledger при этом сообщает, что изученные ею немецкие запасы чистые, а устройства из соцсетей она ещё не осматривала. Так что заявление Карпелеса об импланте в Nano X из MediaMarkt противоречит словам Ledger, что немецкие запасы проверены и чисты. Публичного разбора этого расхождения в найденных материалах нет.
Часть похищенного составляли средства мошенников. Оператор схемы с фиктивными заказами перевёл выручку на три адреса Ledger 22 сентября. Chainalysis описывает этот случай, ущерб по нему — $4,8 млн, как пишет Yahoo Finance. Одно из заявлений Ledger: «Каждое проверенное устройство оказалось чистым». Сколько устройств проверено — не раскрыто.
Спор об ответственности и критика Ledger
Ledger пыталась представить инцидент как ограниченный CryptoBilis, но реселлер значился авторизованным на сайте компании. Ответ пользователей: «Это не инцидент CryptoBilis, это инцидент Ledger». Компания несёт ответственность за то, кого она авторизует, и за контроль цепочки поставок.
Аналитик Darkfost заявил, что угрозу выявили on-chain аналитики раньше, чем сама Ledger. Компания, по его словам, не предложила оплатить доставку отзываемых устройств — владельцы должны сами нести расходы на возврат скомпрометированных кошельков.
Помимо CryptoBilis, сообщения о вскрытых устройствах касаются Metapod, Challenger в VivoCity и MediaMarkt. Подтверждённых краж вне CryptoBilis Ledger не называет, так что эти случаи пока остаются заявлениями пользователей. Ledger сообщила, что проверила немецкие запасы и следов вмешательства не нашла, но устройства из соцсетей ещё не осматривала.
На запрос CoinDesk о планах компенсации Ledger не ответила. Правоохранители: компания заявляет о сотрудничестве с правоохранительными органами и сообществом безопасности. Об арестах, обысках, обвинениях и судебных исках в найденных материалах ничего нет.
Cryptopolitan писал о слухе про смену владельцев CryptoBilis и китайском инвесторе, но связь с кражами не установлена.
Что делать владельцам Ledger
Ledger рекомендует тем, кто купил устройство у CryptoBilis, не инициализировать его или перенести средства на новое устройство с новой seed-фразой. Старую фразу использовать нельзя — она уже скомпрометирована.
Компания ввела новые правила для реселлеров: не держать устройства на полках, сразу сообщать о подозрительных продуктах, не продавать возвраты. Trezor советует покупать напрямую у производителя и рассматривать мультиподпись как дополнительный уровень защиты.
Если устройство куплено у авторизованного реселлера, но не у CryptoBilis, и на нём нет видимых следов вскрытия, риск ниже. Но абсолютной гарантии нет — имплант находили при вскрытии устройства. Для полной уверенности можно купить новое устройство напрямую у производителя и перенести средства с новой фразой.
Как отреагировали Trezor и OneKey
Trezor 12 октября исключил CryptoBilis из списка своих реселлеров. 13 октября компания объявила о сокращении сети реселлеров: авторизация части из них заканчивается 1 января 2027 года. Trezor заявляет, что доказательств компрометации её устройств нет, а число затронутых реселлеров не раскрыто, как пишет Decrypt.
Trezor советует покупать устройства напрямую у производителя и рассматривать мультиподпись — схему, где для транзакции требуется несколько подписей с разных устройств. Это усложняет кражу: даже если одно устройство скомпрометировано, злоумышленник не получит доступ к средствам без остальных ключей.
OneKey сообщает об отсутствии потерь у пользователей и бесплатно заменит устройства, купленные у CryptoBilis с 1 марта по понедельник. Заявки принимаются до 31 декабря, как пишет AltcoinBuzz. Данных об объёме продаж и ценах конкурентов в найденных материалах нет.
Контекст для Ledger: IPO, фишинг и Ledger Atom
23 января The Block писал, что Ledger наняла Goldman Sachs, Jefferies и Barclays для IPO в США с оценкой более $4 млрд. Позже IPO было отложено, и компания перешла к частному финансированию, как сообщал BigGo Finance примерно в мае.
В апреле фишинговое поддельное приложение Ledger Live в App Store нанесло ущерб минимум $9,5 млн, по данным CoinDesk. Это был не взлом самой Ledger, а фишинг — пользователи скачивали поддельное приложение и вводили свои seed-фразы. Apple удалила приложение, но часть средств уже была украдена.
15 октября на Ledger Op3n компания представила Ledger Atom. По описанию Ledger, это первое её устройство с повседневными приложениями и встроенной связью 5G. Подробности о функциях и ценах в найденных материалах не раскрыты. В январе Ledger заявляла о более чем 7 млн устройств и около 20% мировых криптоактивов под защитой. Maddyness писало о более чем 8 млн устройств, так что источники расходятся. Выручка компании за 2025 год — в сотнях миллионов долларов, оценка в 2023 году — $1,5 млрд, по данным Crypto Briefing.
Заключение
Атака на цепочку поставок Ledger через реселлера CryptoBilis — редкий случай физической компрометации аппаратных кошельков. По заявлению Ledger, преступники потратили месяцы и миллионы на операцию: покупали подлинные устройства, вскрывали их, ставили импланты с LTE и eSIM, возвращали в продажу. Имплант считывал seed-фразы с экрана и передавал их по мобильной сети. Оценки ущерба — от $72 млн до $102 млн, Ledger ни одну не подтвердила. Tether заморозил около $10 млн, через Tornado Cash прошло около 2 990 ETH.
Ledger называет это атакой на реселлера, но реселлер значился авторизованным на её сайте, и пользователи справедливо считают это инцидентом Ledger. По словам Darkfost, угрозу выявили on-chain аналитики раньше компании, компенсации не анонсированы, доставку отзываемых устройств Ledger не предложила оплатить. Об арестах, обвинениях и исках данных нет. Trezor исключил CryptoBilis и сокращает сеть реселлеров, OneKey предлагает бесплатную замену устройств. Новые требования Ledger к ретейлерам — не держать устройства на полках, сразу сообщать о подозрительных продуктах, не продавать возвраты — попытка закрыть дыру, но доверие к цепочке поставок подорвано. Для владельцев аппаратных кошельков урок один: покупать напрямую у производителя, проверять упаковку на следы вскрытия и рассматривать мультиподпись как дополнительный уровень защиты.
