কেউ একসাথে প্রায় ৯১ মিলিয়ন ডলার চুরি করেছে। ২০৩টি BTC একই ব্লকে দুটি ঠিকানায় প্রবেশ করে, একই ঘন্টায়, পোলার্ডে প্রায় ৫৮ মিলিয়ন ডলারের USDT সরিয়ে নেওয়া হয়।
টাকা একটি Ledger হার্ডওয়্যার ওয়ালেট ব্যাচ থেকে বেরিয়েছে, যেদিন ব্যবহারকারীরা মেশিন চালু করেছিল, সেদিনই তাদের ২৪টি মনেমন্ত্র (mnemonic) পাঠিয়ে দেওয়া হয়েছিল।
কেউ মালয়েশিয়া থেকে ক্রয়কৃত একটি Ledger খুলেছিল, স্ক্রিনের নিচে eSIM-সহ একটি ছোট বোর্ড যুক্ত ছিল।
@MagicalTux ৮ই অক্টোবর খোলা মেশিনের ছবি পোস্ট করে। সেই ছোট বোর্ডে LTE মডিউল জড়িয়েছে, যা সাধারণত কিছুই করে না, শুধুমাত্র স্ক্রিনটির দিকে তাকিয়ে থাকে। আপনি যখন মেশিনটি চালু করেন, ২৪টি mnemonics-এর প্রতিটিরই অনুলিপি (copy) করছেন, সেইসময়ই mnemonics-গুলি মোবাইল নেটওয়ার্কের মাধ্যমে পাঠিয়ে দেওয়া হচ্ছিল।
Ledger Live-এর own authenticator-এর মাধ্যমেও এটি detect-করা যায়নি, মেশিনটির Ledger-চিপটি real-এ, but the malicious component was hidden under the screen. I zoomed in on those photos for a long time—the soldering looked too clean to be a garage operation.
মালয়েশিয়ায় CryptoBilis নামের একটি hardware wallet-এর দোকান আছে।
Ledger-এরওয়েবসাইট ২০২২-এরও আগেথেকেই CryptoBilis-কে Malaysia, Indonesia, Philippines-এর authorized distributor-এর list-এ include-করছিল।—একটি legitimate store, genuine products, years of honest business.
কিন্তু ২০২৩-এর March-এ, founding team-টি poore company-টি sell-করে।
বিক্রয়টির sath ekta confidentiality agreement attached chilo—original shareholders October 19-এর ager kono kichu bolenai. August-এ, company registration records-e keval ekjon holder chilo—Jiaming naam, address黑龙江-তে। Store still open, website still up, domain unchanged, "Ledger Authorized" sign still hanging in place. Former co-founder later said, old team couldn’t even access the backend anymore.
তারপর ৮ই October-এইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইখনইথম।
পোস্টটি 22 hours after publication, the person holding those mnemonics collected everything.
Coin transfer er pore 7 hours er moddhe, Ledger finally announced they were investigating and asked CryptoBilis to suspend sales and shipments. Yesterday, Ledger confirmed: the affected users’ devices indeed had unauthorized hardware implants.
এতদিন, kono one officially linked the new owners to the tampered devices, and Ledger hasn’t explained how these boards got inside the units. But the path is clear: no need to crack the secure chip or reverse-engineer firmware—just buy an already authorized brand, ride on three years of built trust, ship devices that call home automatically, and when the teardown post goes viral—clean out everything at once.
"Authorized Distributor" sign—2022-তে store open korar time-ei jara ownership korechilo, taderi jonne. Company March-e owner change hoye gese, kintu sign still hanging there. Today kono one rechecked who actually owns it now.
