Ledger объявил 15 октября 2026 года о введении новых требований безопасности для своих авторизованных розничных продавцов. Ранее злоумышленники устанавливали скрытые электронные компоненты в подлинные криптовалютные кошельки, чтобы красть восстановительные фразы пользователей и получать доступ к их средствам.
Ledger сообщает, что после того, как преступники модифицировали подлинные аппаратные кошельки для кражи криптовалют, компания ужесточила правила для реселлеров.
- Скрытые компоненты захватывают фразу восстановления кошелька во время настройки устройства и передают чувствительную информацию через сотовую сеть.
- Во время расследования затронутых устройств Ledger приостановил продажи через авторизованных реселлеров в Юго-Восточной Азии и Гонконге.
- Команда безопасности проверила розничное и складское оборудование и сообщила, что среди проверенных образцов не было обнаружено затронутых устройств.
- Ledger запросил у розничных продавцов прекратить демонстрацию кошельков и запретил без исключений перепродавать возвращенные устройства.
Этот производитель аппаратных кошельков подтвердил, что злоумышленники приобрели легальные устройства, модифицировали их, а затем снова ввели на рынок через дистрибьюторские каналы в Юго-Восточной Азии. Ledger приостановил перепродажу в этом регионе, проверил устройства из розничных магазинов и складов и начал сотрудничать с правоохранительными органами для отслеживания украденных средств.
Компания заявила, что ее внутренние системы, программное обеспечение и безопасные чипы не были скомпрометированы. Следователи продолжают определять полный масштаб атаки, включая то, как эти измененные устройства попали на рынок.
Атака на кошелек Ledger связана с скрытым вредоносным модулем для восстановительной фразы
Расследование Ledger показало, что злоумышленники готовились к этой атаке в течение нескольких месяцев. Они приобрели подлинные аппаратные кошельки, разобрали устройства и встроили пользовательские электронные компоненты для перехвата восстановительных фраз во время настройки.
Восстановительная фраза обычно состоит из 24 слов, позволяя пользователю восстановить доступ к криптовалютному кошельку. Любой, кто получит эти слова, может воссоздать этот кошелек на другом устройстве и перевести его активы.
Злоумышленники используют момент, когда восстановительная фраза появляется на экране устройства. Скрытые компоненты собирают эти слова и передают их на инфраструктуру, контролируемую преступниками.
В техническом обновлении от 13 октября команда безопасности Donjon от Ledger объяснила, что этот вредоносный код использует микроконтроллер для считывания фразы и передачи информации через встроенную SIM-карту по LTE-соединению.
Компания заявила, что этот вредоносный компонент работает независимо от Secure Element, защищающего конфиденциальную криптографическую информацию. Следователи не обнаружили доказательств того, что вредоносный компонент изменяет операционную систему или модифицирует подписи транзакций.
Ранее расследование, проведенное в отношении скрытого чипа в кошельке Ledger, зафиксировало, как неавторизованные электронные компоненты могут раскрывать восстановительную фразу, не изменяя нормальную функцию подписи устройства.
Ledger в последнем заявлении описывает это как организованную преступную деятельность, включающую закупку устройств, распределительные схемы и инфраструктуру, используемую для сбора украденных учетных данных кошельков.
Производитель заявил, что группа потратила миллионы долларов на эту атаку, но не предоставила финансовой детализации и не назвала ответственных лиц.
Согласно сообщениям, злоумышленники использовали собранные восстановительные фразы для доступа к нескольким кошелькам в ходе скоординированной кражи 9 октября.
Несмотря на то, что независимые блокчейн-исследователи оценивают убытки выше 86 миллионов долларов США, Ledger еще не подтвердил общую сумму украденных средств или количество пострадавших клиентов.
Ledger приостанавливает продажу кошельков в Юго-Восточной Азии
После выявления проблемы Ledger потребовал от авторизованных дистрибьюторов и дилеров в Юго-Восточной Азии и Гонконге приостановить продажу устройств до тех пор, пока следователи не проверят затронутые дистрибьюторские каналы.
Ограничения распространяются на Индонезию, Сингапур, Таиланд, Филиппины, Вьетнам, Малайзию и Гонконг.
Юго-восточная Азия, реселлер CryptoBilis, ранее была связана с подтвержденными случаями манипуляций с оборудованием.
После того как клиенты сообщили о потере средств, компания приостановила продажу аппаратных кошельков.
Ранее опубликованные отчеты об расследовании кошелька CryptoBilis зафиксировали обнаружение Ledger о неавторизованных компонентах и его первоначальную реакцию на жалобы клиентов.
После получения отчетов, связанных с другими местами, Ledger расширил меры предосторожности за пределы этого реселлера.
В Германии MediaMarkt Saturn прекратил продажу устройств Ledger в розничных магазинах и на онлайн-платформе после того, как было сообщено о наличии встроенного вредоносного кода на устройстве клиента.
Ledger сообщает, что немецкое дело не привело к каким-либо подтвержденным потерям клиентских средств.
Это событие привело к отдельной приостановке продаж кошельков Ledger в Германии, а компания одновременно проводит проверку устройств и расследование связанной ситуации.
В обновлении от 15 октября Ledger сообщил, что следователи приобрели устройства в магазинах на различных рынках, включая Германию, и провели их физический осмотр.
Компания также проверила образцы из склада и отфильтровала часть своего собственного запаса.
Ledger заявила, что в выборках, проверенных в ходе этих проверок, не было обнаружено неавторизованных компонентов.
Однако компания не раскрыла, сколько устройств было проверено, поэтому общее количество потенциально затронутых продуктов остается не подтвержденным.
Ledger описал это событие как «частичную атаку на дистрибуцию» и настаивает, что его производственная система не была причиной этого инцидента.
Расследование еще не точно определило, где именно были модифицированы каждое из затронутых устройств.
Ledger вводит новые правила для розничных продавцов аппаратных кошельков
В рамках мер реагирования Ledger потребовала от авторизованных розничных продавцов изменить способы хранения и продажи аппаратных кошельков.
Розничные продавцы должны перестать выставлять устройства Ledger на витринах и прилавках. Вместо этого они должны хранить продукты в складских зонах и передавать их клиентам только при совершении покупки.
Компания заявила, что эти требования вступили в силу немедленно с целью сократить возможность несанкционированного доступа к устройствам.
Ledger также напоминает авторизованным дистрибьюторам, что возвращенные устройства ни при каких обстоятельствах не могут быть проданы повторно, даже если упаковка выглядит неоткрытой или продукт кажется неиспользованным.
Это правило уже существовало, но Ledger потребовал от дистрибьюторов без исключений соблюдать его.
Розничные продавцы должны своевременно уведомлять производителя при сообщении клиентами о неисправных продуктах или подозрительном оборудовании.
По мере продолжения расследования компания усиливает контроль над уполномоченной дистрибьюторской сетью.
Ledger сообщает, что его команда безопасности провела крупнейшее в истории компании внутреннее расследование, привлекая несколько отделов.
Эксперты из Ledger Donjon провели анализ извлеченных компонентов и изучили их работу, чтобы определить, как злоумышленники собирали восстановительные фразы.
Производитель сотрудничал с исследователями безопасности и отраслевыми партнерами в течение периода расследования, включая SEAL_911.
Ledger сообщает, что команда сотрудничает с правоохранительными органами в отслеживании украденных средств и выявлении инфраструктуры, используемой для сбора учетных данных кошельков.
Компания не раскрывала информацию о соответствующих арестах, официальных уголовных обвинениях или возврате средств.
Ledger говорит, что компания планирует опубликовать дополнительную техническую информацию, когда следователи смогут безопасно раскрыть результаты.
Ledger планирует дополнительно защитить кошелек от подделки
Помимо текущих розничных ограничений, Ledger разрабатывает дополнительные меры безопасности, направленные на затруднение физического вмешательства.
Компания еще не предоставила технические характеристики, модели продуктов, затронутых этим, или график внедрения этих мер защиты.
Ledger заявляет, что поделится результатами исследования с другими производителями и продавцами аппаратных кошельков, чтобы они могли оценить аналогичные риски в своих продуктах.
Ранее производитель предупреждал клиентов, покупающих устройства через CryptoBilis, не инициализировать устройство до обращения в официальную службу поддержки.
Клиентам, которые использовали потенциально затронутые кошельки, рекомендуется перевести свои криптовалюты на надежное устройство и сгенерировать новую восстановительную фразу.
Если злоумышленник уже получил старую восстановительную фразу, то восстановление старой фразы на замененном устройстве не обеспечит безопасность ваших средств.
Руководство по безопасности Ledger напоминает пользователям не раскрывать восстановительную фразу никому, кто утверждает, что представляет службу поддержки.
Компания подчеркивает, что ее сотрудники не будут запрашивать восстановительные фразы через сообщения, звонки или веб-сайт.
В объявлении от 15 октября Ledger признал, что расследование продолжается, и необходимо выполнить дополнительные меры безопасности.
Производитель повторил, что предоставит дополнительные детали об этой атаке и методах, использованных преступниками, как только расследование позволит раскрыть информацию.