В кошельках Ledger от CryptoBilis нашли шпионский имплант

Подробно

Что произошло с кошельками Ledger от CryptoBilis?

CryptoBilis - малайзийский реселлер аппаратных криптокошельков с магазином в Куала-Лумпуре. Ledger указывала его как официального продавца в Малайзии, Индонезии и на Филиппинах. 9 октября 2026 года клиенты, купившие устройства у этого реселлера, начали сообщать о пропаже средств. В тот же день Ledger начала расследование и попросила CryptoBilis остановить продажи и отгрузки. Покупателей за предшествующие 90 дней компания предупредила, чтобы они не инициализировали устройства.

На сайте реселлера появилось уведомление:

Мы приостановили все продажи и отгрузки устройств Ledger на время расследования Ledger.

На закрытом магазине CryptoBilis в Куала-Лумпуре журналисты Bloomberg 13 октября увидели объявление, датированное 10 октября: «Наши физические магазины временно закрыты до дальнейшего уведомления».

К 11 октября Ledger заявила, что все подтверждённые ею случаи опустошения кошельков 9 октября связаны с устройствами CryptoBilis:

На сегодняшний день все подтверждённые случаи, связанные с раскрытым инцидентом опустошения кошельков 9 октября 2026 года, касаются устройств, проданных через реселлера CryptoBilis в Юго-Восточной Азии. Наши системы и прямые каналы продаж не затронуты.

Число пострадавших устройств и сумму потерь компания при этом не назвала. Расследование Bloomberg о схеме вышло 18 октября.

Как работал шпионский чип в Ledger?

Ledger подтвердила, что в затронутых устройствах стоял несанкционированный физический имплант. Его микроконтроллер во время первичной настройки считывал с экрана 24 слова фразы восстановления, декодировал их и отправлял через LTE со встроенной eSIM. Владелец фразы восстановления получает полный доступ к кошельку.

По данным лаборатории безопасности Ledger Donjon, имплант был отдельным компонентом. Он не изменял защищённый чип Secure Element, операционную систему Ledger, транзакции и подписи. Поэтому штатная проверка подлинности устройства могла пройти успешно, хотя корпус был физически модифицирован.

В официальном заявлении Ledger говорится:

Чип, операционная система и серверы Ledger не были скомпрометированы. Это была локальная атака на канал дистрибуции, произошедшая после того, как затронутые устройства вышли из-под контроля Ledger.

По версии компании, преступная группа несколько месяцев покупала настоящие устройства, вскрывала их, ставила скрытые компоненты и возвращала в оборот через реселлеров Юго-Восточной Азии. Ledger называет случившееся одной из самых изощрённых атак, которые видела отрасль, и приписывает её «высокоорганизованной преступной группе». Это вывод внутреннего расследования заинтересованной стороны: доказательства атрибуции и полный технический отчёт компания не опубликовала.

Какие модели Ledger затронуты?

Полного списка затронутых моделей Ledger не раскрыла. В открытых сообщениях упоминаются разные устройства. Утверждать, что модифицированы все модели или все партии, проданные CryptoBilis, нельзя.

Ledger сообщила, что проверила образцы со складов и устройства, контрольно купленные в магазинах, в том числе в Германии, и модификаций в них не нашла. Это результат выборочной проверки самой компании, а не доказательство безопасности всех проданных устройств.

Бывший генеральный директор биржи Mt. Gox и исследователь аппаратных устройств Марк Карпелес заявил, что нашёл похожий имплант в Ledger Flex, купленном в аэропорту Сингапура. Ledger не подтвердила связь этого экземпляра с кражами 9 октября, поэтому случай остаётся отдельным и неподтверждённым.

Сколько денег украли у покупателей CryptoBilis?

Официальной суммы ущерба нет. Все известные цифры - сторонние ончейн-оценки, и по мере анализа они росли:

• более $86 млн - первоначальная оценка псевдонимного исследователя Specter по адресам в сетях Bitcoin, Ethereum и Tron. Ни Ledger, ни CoinDesk её независимо не подтвердили;
• свыше $90 млн - оценки блокчейн-исследователей, на которые сослался Bloomberg;
• $102,0 млн - расчёт Bitquery, проверенный 16 октября: стоимость активов, выведенных из 335 кошельков в сетях Tron, Bitcoin, Ethereum, Solana, BNB Chain и Polygon.

По подсчётам Bitquery, $79,3 млн вывели из 151 кошелька Tron, 203,8 BTC стоимостью около $16,8 млн - из 122 кошельков Bitcoin. Ещё $3,68 млн пришлось на Ethereum, $1,45 млн - на BNB Chain, $0,58 млн - на Polygon и около $250 тыс. - на Solana.

Число пострадавших людей и устройств точно не установлено. Одному владельцу могли принадлежать несколько адресов, а одно устройство могло управлять кошельками в нескольких сетях.

Полиция малайзийского штата Перак расследует отдельное заявление 38-летнего мужчины о несанкционированном выводе криптоактивов на крупную сумму. Пропажу обнаружили в Телук-Интане 9 октября в 13:00. Полиция публично не связывала это дело с Ledger или CryptoBilis, поэтому включать эти потери в общий ущерб нельзя.

Вернули ли деньги жертвам CryptoBilis?

О возврате средств пострадавшим не сообщалось. По данным Bitquery, эмитент стейблкоина Tether заморозил $10,0 млн в USDT на 20 связанных адресах. Это блокировка токенов, а не выплата: источник не сообщает, что деньги вернулись потерпевшим.

На 16 октября Bitquery могла отслеживать в блокчейнах около $81 млн похищенных активов. Это значит только, что движение средств видно, но не то, что они заморожены или возвращены.

Как злоумышленник выводил средства?

По ончейн-реконструкции Bitquery, примерно с 25 сентября по 8 октября 2026 года злоумышленник проводил небольшие тестовые операции: 21 цикл в Tron и 20 в Ethereum. Кроме того, 25 кошельков Tron подписали одинаковые разрешения за три секунды.

Аналитик подразделения Blockchain Intelligence компании Bitquery Гаурав Агарвал считает, что синхронные подписи, предварительные тесты и последующее объединение потоков указывают на одного оператора, который заранее получил ключи множества кошельков.

Кто стоит за атакой и что известно о CryptoBilis?

Подозреваемые не названы. Сведений об арестах, официальных обвинениях, признании вины или судебных решениях по этому эпизоду нет. Публично не установлено, на каком участке между Ledger, дистрибьюторами, CryptoBilis и покупателями вскрывали устройства.

Бывший CEO CryptoBilis Арравинд Прабу заявил, что компанию купила новая команда, а прежние основатели к марту 2026 года передали ей операционное управление и потеряли доступ к системам и данным. Документы сделки в открытом доступе не найдены. Вторичные источники сообщают о регистрации нового единственного акционера 3 августа, но первичных корпоративных документов нет. Связь смены владельцев с имплантами не доказана. Утверждения о том, что новые владельцы CryptoBilis и установщики имплантов - одни и те же люди, публичными доказательствами не подтверждены.

Что делать владельцам кошельков, купленных у CryptoBilis?

Ledger дала покупателям такую рекомендацию:

Если вы купили устройство Ledger у CryptoBilis и ещё не настроили его, не настраивайте его и обратитесь в службу поддержки Ledger. Если вы уже настроили устройство, оперативно переведите активы на новое устройство с новой фразой восстановления.

Старую фразу восстановления нельзя вводить или восстанавливать на подозрительном устройстве: она могла уже попасть к злоумышленникам.

Какие меры приняли Ledger и другие производители?

После подтверждения импланта Ledger попросила авторизованных реселлеров и дистрибьюторов в Юго-Восточной Азии и Гонконге приостановить продажи и убрать устройства с витрин. С 15 октября компания ввела новые требования к продавцам: не выставлять устройства на открытых витринах, хранить запас в подсобных помещениях до передачи покупателю, оперативно сообщать о необычных устройствах и никогда не возвращать проданные устройства в оборот.

Генеральный директор Ledger Паскаль Готье заявил:

Физическое вмешательство в цепочку поставок - риск для всей отрасли. Мы пересматриваем меры контроля для прямых продаж и для реселлеров и поделимся тем, чем сможем.

Технический директор Ledger Шарль Гийме добавил:

Ledger пересматривает контроль над реселлерами и защиту от вскрытия. Мы приглашаем исследователей и других производителей к совместной работе над методами обнаружения вмешательства и контролем цепочки хранения.

Конкурирующий производитель Trezor заявил, что не нашёл признаков компрометации своих устройств. В качестве меры предосторожности компания решила сократить сеть реселлеров, обновить договорные требования и усилить контроль хранения и происхождения товаров.

Последнее найденное официальное обновление Ledger датировано 15 октября; более поздних сообщений компании редакция не обнаружила.