Обікрали скамера: серед найбільших жертв крадіжки з Ledger виявився шахрай

Аналітики Chainalysis повідомили, що серед найбільших постраждалих від масової крадіжки з гаманців Ledger опинився оператор “таск-скаму”. Він виманював гроші в людей і тримав понад 60 BTC (близько $4,8 млн) на трьох пристроях. Їх спорожнили 9 жовтня разом із сотнями інших гаманців, куплених через реселера CryptoBilis у Південно-Східній Азії.

Шахрай зберігав награбоване у “найнадійнішому” гаманці

Схема “таск-скаму” проста. Людей наймають накручувати продажі й відгуки на реальні товари. Спочатку за це платять, а потім показують “негативний баланс” і вимагають внести власні гроші, щоб отримати виплату. За даними Chainalysis, 22 вересня оператор переклав виручку на три адреси Ledger. 9 жовтня кожну з них спорожнили одним переказом на той самий гаманець, який уже фігурував у крадіжках.

Компанія не уточнила, де шахрай купив пристрої. Нічого не відомо й про те, чи пов’язані організатори таск-скаму з тими, хто його обікрав.

Що сталося з Ledger

На початку жовтня ончейн-дослідник Specter повідомив про понад $86 млн, виведені з сотень гаманців у мережах Bitcoin, Ethereum і TRON. Ledger попросив реселера CryptoBilis, який працює в Малайзії, Індонезії та на Філіппінах, призупинити продажі й відправлення. Покупцям за останні 90 днів порадили не налаштовувати пристрої.

One of the biggest victims of the Ledger theft was a scammer themselves. They lost more than 60BTC, about $4.8M. The funds were from a task scam.

In this task scam, people were paid to fake sales and reviews of real items. Then a "negative balance" appeared, and they were told… https://t.co/IJX4tx9ib3 pic.twitter.com/pGXNJkZJUi

— Chainalysis (@chainalysis) October 15, 2026

Оцінки збитків розходяться: від $72 млн до $93,2 млн, а за даними Bitquery, це 311 гаманців у п’яти мережах. За підрахунками Specter, найбільше втрат припало на TRON, близько 70,5 млн, потім Bitcoin(16,8 млн) і Ethereum ($3,7 млн). Tether заморозив $10 млн у USDT. Сам Ledger жодної суми не підтвердив.

Шпигун усередині корпусу

13 жовтня Ledger пояснив механізм. Імплант розташований усередині корпусу пристрою. Його мікроконтролер розпізнавав слова seed-фрази, коли вони з’являлися на екрані під час налаштування, і передавав їх через LTE за допомогою eSIM. Secure Element, операційну систему та транзакції чип не змінював. Це фізична атака на ланцюг постачання, а не злом програмного забезпечення.

Seed-фраза працює як майстер-ключ: той, хто її знає, відтворить гаманець деінде й виведе кошти без самого пристрою.

Чи справді проблема лише в одному реселері

Колишній глава Mt. Gox Марк Карпелес заявив, що знайшов імплант у Ledger Flex, купленому в аеропорту Сінгапуру. Мережа MediaMarkt Saturn припинила продаж пристроїв після повідомлення клієнта з Німеччини про схожий “шпигунський” чип. Ledger наполягає, що всі підтверджені збитки пов’язані з CryptoBilis, а крадіжку з пристрою, купленого деінде, компанія не перевіряла.

Ledger Flex sold at Singapore Airport confirmed to contain a spy implant!@BenYorke found suspicious marks on his @Ledger and sent it to me rather than using it, that was probably the best decision here.
https://t.co/aP7gDEbvtqhttps://t.co/3VumJyBFD2 https://t.co/PfPyzYA2RW pic.twitter.com/2NtXWIbJYs

— Mark Karpelès (@MagicalTux) October 13, 2026

Генеральний директор Паскаль Готьє пообіцяв з’ясувати, “хто втрутився в ці пристрої і на якому етапі ланцюга постачання”. Технічний директор Шарль Гійєме повідомив, що компанія переглядає контроль за реселерами та захист від фізичного втручання.

Що радить Ledger

Це вже друга історія про компрометацію апаратних гаманців за два місяці, після Coldcard. Тоді причиною була помилка в генераторі випадкових чисел. Тепер це вбудований у пристрій чип.

Update from Ledger Donjon on the CryptoBilis investigation 🔽@DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— Ledger (@Ledger) October 13, 2026

Покупцям CryptoBilis за останні 90 днів не варто налаштовувати пристрій. Тим, хто вже ним користується, потрібно перенести кошти на новий пристрій із новою seed-фразою. Якщо гаманець прийшов із заздалегідь надрукованою фразою, його слід вважати небезпечним.

Джерело: CoinDesk