Автор: Шао Цзядань
Нещодавно Ledger опинилася в центрі інциденту з втратою активів. Деякі користувачі з Південно-Східної Азії повідомили, що після придбання апаратних гаманців у реселера CryptoBilis активи з їхніх гаманців були переказані. 9 жовтня Ledger оголосила, що розпочала розслідування, попросила цього реселера призупинити продажі та відправлення, а також нагадала нещодавнім покупцям утриматися від налаштування своїх пристроїв, тоді як користувачам, які вже їх налаштували, слід розглянути можливість міграції своїх активів.
10 жовтня Ledger додатково заявила, що в пристрої одного постраждалого користувача було виявлено несанкціонований апаратний імплант. Компанія тоді заявила, що підтвердила, що ці випадки пов'язані з пристроями, проданими цим реселером, і що не було виявлено жодних ознак вторгнення в її інфраструктуру безпеки, системи чи послуги.
Згідно зі статистикою Bitquery, пов'язані відтоки активів охопили 315 гаманців і приблизно 93,2 мільйона доларів. Це статистика третьої сторони, і Ledger ще не підтвердила остаточний масштаб втрат. Станом на 12 жовтня все ще триває розслідування, на якому етапі пристрої були підроблені, і чи пов'язаний імплант з усіма втратами.
Багато людей обирають апаратні гаманці саме тому, що сподіваються зберегти свої активи в більшій безпеці. Тепер, коли повідомлення користувачів про втрати та аномалії на пристроях з'явилися одночасно, це неминуче викликає занепокоєння. Визначення причини атаки потребує професійного тестування, а щодо того, чи може це відкриття пояснити всі втрати, ще немає остаточного висновку. Для інших команд гаманців цей інцидент уже порушив питання, варте обговорення: коли користувачі довіряють гаманцю, яким саме ланкам ланцюжка вони насправді довіряють?
Джерело зображення: The Block, звіт від 9 жовтня 2026 року. Сума на скріншоті є ранньою оцінкою, і масштаб втрат все ще перевіряється.
Що робить цей інцидент тривожним, так це те, що CryptoBilis раніше був у офіційному списку авторизованих реселерів Ledger. Користувачі, які заходили на офіційний сайт, щоб перевірити список і купувати через авторизовані канали, уже ретельно уникали ризику. Тепер цей шлях покупки також потрапив у сферу розслідування. Для інших апаратних гаманців і некастодіальних додатків-гаманців варто обговорити: коли користувачі покладають довіру на бренд, чи достатньо чітко викладено зобов'язання, які бере на себе виробник, і відповідальність, яку він несе?
01 | Довіра, яку приносить «офіційна авторизація», — це те, до чого брендам потрібно ставитися серйозно
Звичайним користувачам дуже важко дізнатися, через що пройшов пристрій після виходу з заводу. Коли вони обирають авторизованого реселера, вони зазвичай вірять, що бренд уже перевірив канал. Тому, коли в реселера виникає проблема, користувачі природно також шукатимуть пояснень і допомоги в бренду.
Наприклад, користувач, стурбований придбанням підробленого продукту, спеціально перевірив список реселерів на офіційному сайті бренду, а потім зробив замовлення в магазині з цього списку. Причина, чому цей магазин здобув його довіру, включала як фактори, пов'язані з самим магазином, так і роль рекомендації бренду. Якби згодом пристрій мав проблему, йому було б важко прийняти, коли бренд і продавець казали йому «звертайтеся до іншої сторони». Це зрозуміла реакція користувача, хоча юридична відповідальність все ще потребує подальшого з'ясування.
Бренди та реселери часто є двома різними суб'єктами господарювання, і користувачі зазвичай не можуть бачити договори між ними чи розподіл післяпродажних обов'язків. Якщо те, що включає авторизація, на яких етапах бренд брав участь і яка допомога надається після виникнення аномалії, викладено для зовнішнього світу нечітко, легко може виникнути розрив між очікуваннями користувачів і фактичними домовленостями обох сторін.
Користувачам, можливо, не обов'язково цікаво, як бренд і реселер керують один одним і співпрацюють, але ці домовленості вплинуть на те, як вирішуватимуться справи після виникнення інциденту. Скільки повноважень управління бренд має щодо каналу, хто повідомляє про аномалії, хто зв'язується з користувачами і хто відповідає за післяпродажне обслуговування, — усе це бажано чітко узгодити під час співпраці.
З точки зору договору, цінність таких угод полягає в зменшенні спорів після інциденту. Чи може реселер надати записи про покупки, чи може бренд безпосередньо зв’язатися з відповідними користувачами, і як обидві сторони співпрацюють у розслідуванні — усе це впливатиме на те, як просуватимуться справи. Конкретний метод управління каналами потрібно визначати з огляду на судження бізнес- та безпекових команд; принаймні обидві сторони повинні знати, що вони пообіцяли і в чому їм потрібно співпрацювати, якщо виникне проблема.
Чи несе бренд відповідальність і якою мірою, залежить від того, яка проблема виникла з пристроєм, які зобов’язання взяла на себе кожна сторона та який зв’язок між відповідною поведінкою і збитками. Але оскільки «офіційна авторизація» брала участь у рішеннях користувачів про покупку, бренд повинен серйозно ставитися до довіри, що виникає з цього.
Для інших виробників апаратних гаманців авторизаційні відносини варто переглянути. Коли офіційний сайт рекомендує певний канал, як користувачі зрозуміють цю рекомендацію? Якщо протягом періоду співпраці відбудуться зміни, чи зможуть початкові домовленості все ще діяти? Ці питання пов’язані з тим, як бренд використовує слова «офіційна авторизація», а також з тим, до кого користувачі заявляють свої права після виникнення збитків.
02 | Якою б великою не була безпекова спроможність, зобов’язання повинні сягати лише так далеко
Дослідницька команда з безпеки Ledger Donjon пояснила в публічних матеріалах, що Genuine Check переважно перевіряє справжність захищеного чіпа. Доки оригінальний захищений чіп залишається недоторканим, деякі додаткові апаратні модифікації можуть не бути виявлені. Ця перевірка також не може перевірити повну історію продажу та доставки пристрою.
Для користувачів «перевірку пройдено» легко зрозуміти як «пристрій безпечний і його можна впевнено використовувати». Якщо обсяг, який фактично перевіряє продукт, є вужчим, необхідно чітко пояснити цю різницю. Чи зрозумілі повідомлення про безпеку звичайним користувачам — це також частина продуктового зобов’язання.
Складність тут у тому, що технічні команди та звичайні користувачі можуть розуміти одне й те саме речення по-різному. Технічні фахівці знають, який компонент перевіряє перевірка, тоді як користувачі можуть бачити лише зелену позначку. Сама перевірка виконала поставлене завдання, але користувачі все ще можуть переоцінювати захист, який вона забезпечує. Описи продукту повинні враховувати цю різницю в розумінні.
Якщо сторінка покупки неодноразово наголошує на безпеці, а ключові обмеження розміщені лише в інструкціях, які користувачам дуже важко знайти, то в спорі можуть виникнути дві позиції: виробник вважає, що вже все пояснив, а користувачі вважають, що їм ніколи не нагадували про це під час покупки та використання продукту. Чи становить це введення в оману і чи достатні повідомлення, потрібно дивитися на конкретні сторінки та застосовне право. Але чіткіше пояснення обмежень справді може допомогти зменшити такі розбіжності.
Застосунки некастодіальних гаманців мають схожі проблеми. «Відкритий вихідний код», «пройдено аудит» і «приватні ключі зберігаються в користувачів» кожне пояснює певну особливість продукту. Користувачі можуть формувати на їх основі ширші очікування щодо безпеки. Коли виробники просувають свої продукти, точне пояснення обсягу цих можливостей допомагає зменшити непорозуміння і також може зменшити майбутні спори щодо відповідальності.
Наприклад, певний застосунок описує себе як такий, що пройшов аудит безпеки. Користувачі можуть зрозуміти це речення так, що майбутнє використання буде повністю безпечним, тоді як аудит зазвичай має відповідний об’єкт, версію та обсяг. Точне пояснення цієї інформації не послаблює можливостей, які продукт уже має. Воно дає користувачам можливість зрозуміти, які твердження конкретно підтверджує певний звіт про аудит.
Звичайно, виробникам гаманців дуже важко гарантувати, що всі ризики зникнуть. Нас більше цікавить, чи відповідають зовнішні зобов’язання фактичним можливостям і чи доводяться важливі обмеження до відома користувачів. Чим більша розбіжність між просуванням, описами безпеки та користувацькими угодами, тим легше після інциденту виникають спори про те, «що саме було обіцяно на той момент».
Джерело зображення: офіційний сайт Ledger Donjon, скріншот від 12 жовтня 2026 року. На сторінці пояснюються обмеження Genuine Check щодо виявлення додаткових апаратних модифікацій.
03 | Приватні ключі зберігаються користувачами, але продукти та послуги все ще мають свої відповідні обов'язки
У некастодіальних гаманцях користувачі зазвичай володіють приватними ключами або повноваженнями на підписання. Користувачам потрібно зберігати інформацію для відновлення та ретельно перевіряти транзакції. Але користувачі все ще покладаються на виробників у наданні пристроїв, програмного забезпечення та інформації на сторінках. Якщо в цих ланках виникають проблеми, твердження «ми не зберігаємо приватні ключі» не відповідає на питання про причину інциденту або розподіл відповідальності.
Коли користувачі використовують некастодіальний гаманець, вони можуть нести відповідальність за підписання самостійно, але зміст транзакції, який вони бачать, точки входу для обміну, які вони використовують, і оновлення програмного забезпечення, які вони отримують, все ще надходять від гаманця та його партнерів. Тут є різні учасники, а також різні завдання. Той факт, що активи контролюються користувачами, не робить ці сервісні відносини неіснуючими.
Наприклад, користувач використовує сторонній сервіс обміну в гаманці і згодом виявляє, що з транзакцією виникла проблема. Користувачеві потрібно знати, хто надає послугу, до якого кроку залучений гаманець і на якій ланці виникла проблема. Гаманець може лише відображати точку входу, або він міг брати участь у генеруванні та відображенні змісту транзакції; різні ситуації матимуть різний вплив на визначення відповідальності. Брендові позначки на сторінці та «сторонні послуги» в договорі також потрібно розглядати в контексті фактичного процесу.
З точки зору юриста, продуктові зобов'язання, розкриття ризиків, договори про співпрацю та користувацькі угоди є важливими матеріалами для обговорення цих питань. Вони можуть допомогти відтворити, про що домовилися сторони, але їх все ще потрібно порівнювати з фактично наданими продуктами та послугами. Загальний ярлик «некастодіальний» навряд чи може пояснити всі відносини.
Існуватимуть відмінності у визначенні відповідальності між випадком, коли користувач розкрив свою мнемонічну фразу, та збитками, спричиненими дефектами пристрою, вразливостями програмного забезпечення або оманливою рекламою. Користувацькі угоди можуть передбачати обов'язки кожної сторони, але ефективність положень про звільнення від відповідальності все ще залежить від застосовного права та конкретних обставин. Щодо цього інциденту з Ledger все ще потрібно дочекатися завершення розслідування, щоб встановити факти, перш ніж обговорювати компенсацію.
Комунікація після інциденту також впливає на те, чи зможуть користувачі й надалі довіряти продукту. Поки розслідування ще триває, виробники можуть пояснити відомі на даний момент факти, питання, які вирішуються, і де користувачі можуть отримати допомогу. Щодо питань, які ще не визначені, залишити необхідний простір є розважливішим, ніж поспішно запевняти, що «проблем немає».
Призупинення певного каналу, сприяння розслідуванню або надання заміни пристроїв — усе це конкретні заходи в обробці інциденту. Відповідальність за компенсацію все ще потрібно оцінювати на основі результатів розслідування та угод залучених сторін. Чи вдасться успішно відновити активи, також залежить від того, куди пішли кошти, та повноважень відповідних установ. Користувачам потрібно знати, яка підтримка наразі доступна і як вони можуть згодом реалізувати свої власні вимоги.
Підсумок адвоката Манькуня
Технічна причина інциденту з Ledger ще має бути встановлена професійною командою. Як юристи, ми більше стурбовані зв'язком між довірою користувачів і зобов'язаннями залучених сторін: чи можуть авторизація на офіційному веб-сайті, заяви про безпеку на сторінках і положення про відповідальність в угодах відповідати продуктам і послугам, які користувачі фактично отримують.
Інші команди гаманців можуть переглянути свій власний бізнес з цієї точки зору. Користувачі, які володіють власними активами, повинні нести відповідну відповідальність за зберігання; те, що виробники надають і обіцяють, також варто чітко пояснити. Відносно узгоджене розуміння цих питань між усіма сторонами допомагає зменшити непорозуміння у звичайний час і полегшує обговорення того, що робити далі, коли виникають проблеми.
