Compass Investments

– Изображение аппаратного кошелька Ledger с цифровыми активами, олицетворяющее надежное хранение криптовалюты и инструменты для самостоятельного хранения.

Компания Ledger подтвердила, что среди устройств, попавших в расследование об опустошении кошельков в Юго-Восточной Азии, нашлось одно с «несанкционированной аппаратной вставкой». Это стало первым случаем, когда изготовитель аппаратных кошельков официально засвидетельствовал физическое вмешательство в инциденте, который, по подсчетам блокчейн-аналитиков, уже стоил пользователям свыше 86 миллионов долларов. В уведомлении, размещенном в официальной учетной записи службы поддержки, Ledger заверила, что связывается с пострадавшими клиентами, одновременно подчеркнув, что собственная защитная инфраструктура, системы и сервисы остались неповрежденными.

Это открытие касается устройств, реализованных через CryptoBilis дистрибьютора, назначенного Ledger для Индонезии, Малайзии и Филиппин. Рекомендации компании для покупателей четкие: не инициализируйте устройство, которое вы еще не активировали; если вы уже выполнили настройку, переведите свои средства на новый кошелек с иной восстановительной фразой. Ниже изложена проверенная информация о том, как, по всей видимости, действует эта вставка и какие шаги следует предпринять.

В заявлении от 10 октября Ledger сообщила, что «устройство одного из пострадавших содержало несанкционированный аппаратный компонент» это стало первым официальным подтверждением физического взлома в рамках расследования, стартовавшего 9 октября. С тех пор CryptoBilis приостановила реализацию всего перечня аппаратных кошельков на время инспекции этот шаг оказался шире, чем исходный запрос Ledger, касавшийся исключительно продукции Ledger.

Компания Ledger вновь акцентировала, что у нее «отсутствуют признаки компрометации безопасности, систем или сервисов Ledger». Она также выразила благодарность группе безопасности SEAL 911, уведомила о взаимодействии с правоохранительными органами и предостерегла, что никогда не будет запрашивать 24-словную восстановительную фразу.

Сам масштаб убытков пока представляет собой лишь приблизительные расчеты. Исследователь блокчейна Specter оценил суммарный ущерб в более чем 86 млн долларов в биткоинах, Ethereum и TRON; Bitquery подсчитал примерно 92,9 млн долларов по 311 кошелькам, а аналитик Yfarmx указал на предположительные потери в 93,4 млн долларов по 471 адресу. Ledger не подтвердила ни одну из этих цифр.

Наиболее детальное публичное описание представил Марк Карпелес (Mark Karpelès), экс-генеральный директор Mt. Gox, который задокументировал измененный Ledger Nano X. Сообщается, что в изученном им экземпляре была скрытая плата с модулем LTE, eSIM и микроконтроллером, присоединенным к шине SPI дисплея. Так как вставка следит за экраном именно в момент появления 24-словной фразы восстановления во время настройки, она способна зафиксировать эти слова и отправить их через сотовую связь, не затрагивая защищенный элемент, который хранит приватные ключи.

Подобная схема объясняет, почему поддельное устройство способно пройти проверку подлинности Ledger: защищенный чип и прошивка не изменены, а вставка лишь считывает изображение на дисплее. Компания Ledger не опубликовала собственных технических заключений и не подтвердила, что именно таким способом были выведены средства.

Рекомендации Ledger разделяются в зависимости от статуса устройства. Те, кто приобрел устройство у CryptoBilis за последние 90 дней и не провел его инициализацию, должны воздержаться от настройки. Тем, кто уже выполнил настройку, стоит подумать о перемещении активов на новый Ledger Signer, созданный с иной сид-фразой, поскольку повторное применение прежней фразы по-прежнему влечет риск для тех же ключей.

Покупателям надлежит считать устройство недостоверным даже при уже выполненном переводе средств, обратиться в Ledger через support.ledger.com и игнорировать любые запросы на ввод восстановительной фразы.

Ваш Ledger безопасен?

Это подтверждение выявляет проблему в логистической цепочке у конкретного дистрибьютора, а не нарушение в собственных системах Ledger. На сегодняшний день доказательства ограничены устройствами, проданными через CryptoBilis, и Ledger утверждает, что разрабатывает улучшенные меры против несанкционированных модификаций. Прямые покупатели не были указаны как пострадавшие в этом инциденте.

Данный случай остается напоминанием о том, что безопасность самостоятельного хранения выходит за пределы программного обеспечения: кошелек, приобретенный через ненадежный канал, может подвести даже при надежной криптографии.