Ledger ввела новые требования безопасности для своих авторизованных розничных продавцов 15 октября 2026 года после того, как злоумышленники установили скрытые электронные компоненты внутри подлинных криптовалютных кошельков, чтобы украсть фразы восстановления пользователей и получить доступ к их средствам.
Краткое содержание
- Ledger ввела более строгие правила для реселлеров после того, как преступники модифицировали подлинные аппаратные кошельки для кражи криптовалют.
- Скрытые импланты захватывали фразы восстановления кошелька во время настройки и передавали конфиденциальную информацию через сотовые сети.
- Ledger приостановила продажи авторизованных реселлеров в Юго-Восточной Азии и Гонконге, пока расследует скомпрометированные устройства.
- Команды безопасности проверили устройства в розничных магазинах и на складах, сообщив об отсутствии скомпрометированных единиц среди проверенных образцов.
- Ledger поручила розничным продавцам прекратить выставлять кошельки на витринах и запретить перепродажу возвращённых устройств без исключений.
Производитель аппаратных кошельков подтвердил, что злоумышленники приобрели легитимные устройства, модифицировали их и вернули в оборот через каналы распределения в Юго-Восточной Азии. Ledger приостановила региональные продажи реселлеров, проверила устройства из розничных магазинов и складов и начала сотрудничать с правоохранительными органами для отслеживания украденных средств.
Компания утверждает, что её внутренние системы, операционное программное обеспечение и чипы безопасности не были скомпрометированы. Следователи продолжают устанавливать полный масштаб атаки, включая то, как модифицированные устройства попали на рынок.
Атака на кошельки Ledger включала скрытые импланты для фраз восстановления
Расследование Ledger показало, что злоумышленники потратили месяцы на подготовку операции. Они приобрели подлинные аппаратные кошельки, вскрыли устройства и вставили специальные электронные компоненты, предназначенные для захвата фраз восстановления во время настройки.
Фраза восстановления обычно содержит 24 слова, которые позволяют пользователю восстановить доступ к криптовалютному кошельку. Любой, кто получит эти слова, потенциально может воссоздать кошелёк на другом устройстве и перевести его активы.
Злоумышленники использовали момент, когда фраза восстановления появлялась на экране устройства. Скрытый компонент собирал слова и передавал их на инфраструктуру, контролируемую преступниками.
В своём техническом обновлении от 13 октября команда безопасности Donjon компании Ledger объяснила, что имплант использовал микроконтроллер для чтения фразы и встроенную SIM-карту для передачи информации через LTE-сотовое соединение.
Компания заявила, что имплант работал независимо от Secure Element устройства, который защищает конфиденциальную криптографическую информацию. Следователи не нашли доказательств того, что вредоносный компонент модифицировал операционную систему или изменял подписи транзакций.
Более ранние расследования скрытых чипов внутри кошельков Ledger документировали, как несанкционированная электроника могла раскрывать фразы восстановления без изменения нормальных функций подписи устройства.
В последнем заявлении Ledger описала организованную преступную операцию, включающую закупку оборудования, организацию распределения и инфраструктуру для сбора украденных учётных данных кошельков.
Производитель заявил, что группа потратила миллионы на подготовку атаки. Он не предоставил финансовую разбивку или не назвал ответственных лиц.
Сообщается, что злоумышленники использовали собранные фразы восстановления для доступа к нескольким кошелькам во время скоординированной операции по краже 9 октября.
Хотя независимые блокчейн-следователи оценили потери более чем в 86 миллионов долларов, Ledger не подтвердила общую сумму украденного или количество пострадавших клиентов.
Ledger приостанавливает продажи кошельков в Юго-Восточной Азии
После обнаружения Ledger попросила авторизованных реселлеров и дистрибьюторов по всей Юго-Восточной Азии и в Гонконге приостановить продажи устройств, пока следователи изучали затронутые каналы распространения.
Ограничения охватили Индонезию, Сингапур, Таиланд, Филиппины, Вьетнам, Малайзию и Гонконг.
CryptoBilis, реселлер, работающий в Юго-Восточной Азии, ранее был связан с подтвержденными случаями, касающимися модифицированных устройств.
Компания приостановила продажи аппаратных кошельков после появления сообщений о том, что клиенты потеряли средства.
Предыдущая публикация о расследовании кошелька CryptoBilis задокументировала обнаружение Ledger несанкционированного импланта и ее первоначальную реакцию на жалобы клиентов.
Позже Ledger расширила свои меры предосторожности за пределы этого реселлера после получения сообщений, касающихся других локаций.
В Германии MediaMarkt Saturn прекратила продажу устройств Ledger через свои физические магазины и онлайн-платформу после сообщения об импланте в устройстве клиента.
Ledger заявила, что немецкий случай не привел к подтвержденной потере средств клиентов.
Инцидент вызвал отдельную приостановку продаж кошельков Ledger в Германии, пока компания проверяла устройства и расследовала обстоятельства.
В своем обновлении от 15 октября Ledger сообщила, что ее следователи приобрели устройства в магазинах на разных рынках, включая Германию, и вскрыли их для физической экспертизы.
Компания исследовала образцы со складов и проверила часть собственных запасов.
По данным Ledger, в образцах, проверенных в ходе этих проверок, несанкционированных компонентов обнаружено не было.
Однако компания не раскрыла, сколько устройств было проверено, оставив общее число потенциально затронутых продуктов неподтвержденным.
Ledger описала инцидент как «локализованную атаку на канал распространения» и настаивала на том, что ее производственные системы не несут ответственности за компрометацию.
Расследование пока не установило точно, где именно было модифицировано каждое затронутое устройство.
Ledger вводит новые правила для розничных продавцов аппаратных кошельков
В рамках своего ответа Ledger обязала авторизованных розничных продавцов изменить способ хранения и продажи аппаратных кошельков.
Розничные продавцы должны прекратить размещать устройства Ledger на витринах и прилавках. Вместо этого они должны хранить продукты в складских помещениях и передавать их клиентам только в момент покупки.
Компания ввела эти требования немедленно, пояснив, что меры предназначены для сокращения возможностей несанкционированного обращения с устройствами.
Ledger напомнила авторизованным продавцам, что возвращенные устройства никогда не должны продаваться снова, даже если их упаковка выглядит неоткрытой или продукт выглядит неиспользованным.
Это правило уже существовало, но Ledger поручила дистрибьюторам соблюдать его без исключений.
Розничные продавцы должны незамедлительно уведомлять производителя всякий раз, когда клиенты сообщают о необычных продуктах или потенциально подозрительном оборудовании.
Компания усиливает надзор за своей авторизованной дистрибьюторской сетью, пока расследование продолжается.
Ledger заявила, что ее команда безопасности провела крупнейшее внутреннее расследование в истории компании, задействовав несколько отделов.
Специалисты из Ledger Donjon разобрали извлеченный имплант и изучили его работу, чтобы установить, как злоумышленники собирали фразы восстановления.
Производитель сотрудничал с исследователями безопасности и отраслевыми партнерами, включая SEAL_911, в ходе расследования.
По словам Ledger, команды работают с правоохранительными органами, чтобы отследить украденные средства и выявить инфраструктуру, использовавшуюся для сбора учетных данных кошельков.
Компания не раскрыла информацию об арестах, официальных уголовных обвинениях или возвращенных средствах, ставших результатом этих усилий.
Ledger заявила, что намерена опубликовать дополнительную техническую информацию, когда следователи смогут безопасно обнародовать свои выводы.
Ledger планирует дополнительные меры защиты от вмешательства в кошельки
Помимо немедленных ограничений на розничные продажи, Ledger разрабатывает дополнительные меры безопасности продуктов, призванные затруднить физическое вмешательство.
Компания не предоставила технических характеристик, затронутых моделей продуктов или сроков внедрения этих мер защиты.
Ledger заявила, что поделится результатами с другими производителями и продавцами аппаратных кошельков, чтобы они могли изучить аналогичные риски в своих продуктах.
Клиентам, которые уже использовали потенциально затронутый кошелёк, было рекомендовано перевести свою криптовалюту на доверенное устройство с новой сгенерированной фразой восстановления.
Восстановление старой фразы восстановления на заменяющем устройстве не обеспечит сохранность средств, если злоумышленники уже получили эту фразу.
В рекомендациях Ledger по безопасности пользователям настоятельно советуют никогда не раскрывать свои фразы восстановления кому-либо, кто утверждает, что представляет службу поддержки.
Компания подчеркнула, что её сотрудники не будут запрашивать слова восстановления через сообщения, телефонные звонки или веб-сайты.
Во время своего объявления 15 октября Ledger признала, что расследование продолжается и что предстоит ещё дополнительная работа по безопасности.
Производитель подтвердил своё намерение обнародовать дополнительные подробности об атаке и методах, использованных преступниками, как только его расследование позволит раскрыть информацию.
