Ограбили скамера: среди крупнейших жертв кражи из Ledger оказался мошенник

Аналитики Chainalysis сообщили, что среди тех, кто больше всего пострадал от массовой кражи из кошельков Ledger, оказался оператор «таск-скама». Он выманивал деньги у людей и хранил более 60 BTC (около 4,8 млн долларов) на трёх устройствах. Их опустошили 9 октября вместе с сотнями других кошельков, приобретенных через реселлера CryptoBilis в Юго-Восточной Азии.

Мошенник хранил награбленное в «самом надежном» кошельке

Схема «таск-скама» проста. Людей нанимают для накрутки продаж и отзывов на реальные товары. Сначала за это платят, а потом показывают «отрицательный баланс» и требуют внести собственные средства, чтобы получить выплату. По данным Chainalysis, 22 сентября оператор перевел выручку на три адреса Ledger. 9 октября средства с каждого из них были выведены одним переводом на тот же кошелек, который уже фигурировал в кражах.

Компания не уточнила, где мошенник купил устройства. Ничего не известно и о том, связаны ли организаторы мошенничества с теми, кто его обворовал.

Что случилось с Ledger

В начале октября ончейн-исследователь Specter сообщил о выводе более $86 млн из сотен кошельков в сетях Bitcoin, Ethereum и TRON. Компания Ledger обратилась к реселлеру CryptoBilis, который работает в Малайзии, Индонезии и на Филиппинах приостановить продажи и отправку. Покупателям за последние 90 дней посоветовали не настраивать устройства.

One of the biggest victims of the Ledger theft was a scammer themselves. They lost more than 60BTC, about $4.8M. The funds were from a task scam.

In this task scam, people were paid to fake sales and reviews of real items. Then a "negative balance" appeared, and they were told… https://t.co/IJX4tx9ib3 pic.twitter.com/pGXNJkZJUi

— Chainalysis (@chainalysis) October 15, 2026

Оценки убытков расходятся: от $72 млн до $93,2 млн, а по данным Bitquery, речь идет о 311 кошельках в пяти сетях. По подсчётам Specter, наибольшие потери пришлись на TRON — около 70,5 млн, затем Bitcoin (16,8 млн) и Ethereum ($3,7 млн). Tether заморозил $10 млн в USDT. Сама компания Ledger не подтвердила никаких сумм.

Шпион внутри корпуса

13 октября компания Ledger объяснила принцип работы. Имплантат находится внутри корпуса устройства. Его микроконтроллер распознавал слова seed-фраз, когда они появлялись на экране во время настройки и передавал их через LTE с помощью eSIM. Чип не изменял Secure Element, операционную систему и транзакции. Это физическая атака на цепочку поставок, а не взлом программного обеспечения.

Сед-фраза работает как мастер-ключ: тот, кто её знает, воссоздаст кошелек где-то еще и снимет средства без самого устройства.

Действительно ли проблема заключается только в одном реселлере?

Бывший глава Mt. Gox Марк Карпелес заявил, что обнаружил имплант в устройстве Ledger Flex, купленном в аэропорту Сингапура. Сеть MediaMarkt Saturn прекратила продажу устройств после сообщения клиента из Германии о подобном «шпионском» чипе. Ledger настаивает, что все подтвержденные убытки связаны с CryptoBilis, а кражу с устройства, купленного в другом месте, компания не проверяла.

Ledger Flex sold at Singapore Airport confirmed to contain a spy implant!@BenYorke found suspicious marks on his @Ledger and sent it to me rather than using it, that was probably the best decision here.
https://t.co/aP7gDEbvtqhttps://t.co/3VumJyBFD2 https://t.co/PfPyzYA2RW pic.twitter.com/2NtXWIbJYs

— Mark Karpelès (@MagicalTux) October 13, 2026

Генеральный директор Паскаль Готье пообещал выяснить, «кто вмешался в эти устройства и на каком этапе цепи поставки». Технический директор Шарль Гийем сообщил, что компания пересматривает механизмы контроля за реселлерами и меры защиты от физического вмешательства.

Что советует Ledger

Это уже вторая история о взломе аппаратных кошельков за два месяца, после Coldcard. Тогда причиной стала ошибка в генераторе случайных чисел. Теперь это встроенный в устройство чип.

Update from Ledger Donjon on the CryptoBilis investigation 🔽@DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— Ledger (@Ledger) October 13, 2026

Покупателям CryptoBilis за последние 90 дней не нужно настраивать устройство. Тем, кто уже им пользуется, необходимо перевести средства на новое устройство с новой seed-фразой. Если кошелек поставляется с заранее напечатанной фразой, его следует считать небезопасным.

Источник: CoinDesk