Ledger оголосив 15 жовтня 2026 року про введення нових вимог безпеки для своїх авторизованих роздрібних продавців. Раніше зловмисники встановлювали приховані електронні компоненти у справжніх криптовалютних гаманцях, щоб красти відновлювальні фрази користувачів та отримувати доступ до їхніх коштів.
Ledger повідомив, що після того, як злочинці змінили оригінальні апаратні гаманці, щоб вкрасти криптовалюту, компанія посилила правила для роздрібних продавців.
- Приховані компоненти захоплюють фразу відновлення гаманця під час налаштування пристрою та передають конфіденційну інформацію через мобільну мережу.
- Ledger призупинив продажі через авторизованих розповсюджувачів у Південно-Східній Азії та Гонконзі під час розслідування вплинутих пристроїв.
- Команда безпеки перевірила роздрібне та складське обладнання і повідомила, що в зразках, що підлягали перевірці, не було виявлено вплинутих пристроїв.
- Ledger вимагає від роздрібних продавців припинити виставлення гаманців та забороняє без винятків перепродавати повернені пристрої.
Цей виробник апаратних гаманців підтвердив, що нападники купили легальні пристрої, модифікували їх, а потім знову вивезли на ринок через дистриб’юторські канали в Південно-Східній Азії. Ledger призупинив перепродаж у цьому регіоні, перевірив пристрої з роздрібних магазинів і складів, а також розпочав співпрацю з правоохоронними органами для відстеження вкрадених коштів.
Компанія заявила, що її внутрішні системи, програмне забезпечення та безпечні чіпи не були скомпрометовані. Слідчі продовжують визначати повний масштаб атаки, включаючи те, як ці підмінені пристрої потрапили на ринок.
Атака на гаманець Ledger пов’язана з прихованим вставним файлом для відновлення
Розслідування Ledger виявило, що нападники готувалися до цієї акції протягом кількох місяців. Вони купували справжні апаратні гаманці, розбирали пристрої та встановлювали спеціально розроблені електронні компоненти для захоплення відновлювальних фраз під час налаштування.
Фраза відновлення зазвичай містить 24 слова, які дозволяють користувачеві відновити доступ до криптовалютного гаманця. Будь-хто, хто отримає ці слова, може відтворити цей гаманець на іншому пристрої та перевести його активи.
Зловмисники використовують момент, коли відновлювальна фраза з’являється на екрані пристрою. Приховані компоненти збирають ці слова та передають їх інфраструктурі, що знаходиться під контролем злочинців.
У технічному оновленні від 13 жовтня команда безпеки Ledger Donjon пояснила, що цей вбудований модуль використовує мікроконтролер для зчитування фрази та передачі інформації через вбудовану SIM-карту за допомогою LTE-з’єднання.
Компанія зазначила, що цей вбудований елемент працює незалежно від Secure Element, який захищає конфіденційну криптоінформацію. Дослідники не знайшли доказів того, що шкідливі компоненти змінювали операційну систему або змінювали підписи транзакцій.
Раніше у ході розслідування щодо прихованого чіпу у гаманці Ledger було зафіксовано, як неавторизовані електронні компоненти можуть викрити відновлювальний фразу, не змінюючи нормальних функцій підпису пристрою.
Ledger у останньому заяві описує це як організовану злочинну діяльність, що включає закупівлю обладнання, систему розподілу та інфраструктуру для збору вкрадених облікових даних гаманців.
Виробник зазначив, що група витратила мільйони доларів на цю атаку, але не надала фінансову розбивку та не назвала відповідних осіб.
Згідно з повідомленнями, нападники використали зібрані відновлювальні фрази для доступу до кількох гаманців у ході спільної крадіжки 9 жовтня.
Хоча незалежні дослідники блокчейну оцінюють збитки на понад 86 мільйонів доларів США, Ledger ще не підтвердив загальну суму крадіжки або кількість постраждалих клієнтів.
Ledger призупинив продаж гаманців у країнах Південно-Східної Азії
Після виявлення проблеми Ledger вимагав від авторизованих дистриб’юторів і дистриб’юторів у Південно-Східній Азії та Гонконзі призупинити продаж пристроїв до тих пір, поки слідчі не перевірять впливові дистриб’юторські канали.
Обмежені регіони включають Індонезію, Сінгапур, Таїланд, Філіппіни, В’єтнам, Малайзію та Гонконг.
Субділіційний реселлер CryptoBilis раніше пов’язувався з підтвердженими випадками маніпулювання пристроями.
Після того як клієнти повідомили про втрату коштів, компанія призупинила продаж гардварних гаманців.
Раніше повідомлення про розслідування гаманця CryptoBilis фіксувало виявлення Ledger щодо неавторизованих компонентів та його початкову відповідь на скарги клієнтів.
Після отримання звітів, що стосуються інших місць, Ledger розширив заходи запобігання за межі цього перепродавця.
У Німеччині MediaMarkt Saturn призупинив продаж пристроїв Ledger у фізичних магазинах та на онлайн-платформах після того, як було повідомлено про наявність вставок на пристрої клієнта.
Ledger зазначає, що ніякі засоби клієнтів не були втрачені в результаті німецького випадку.
Ця подія призвела до окремої призупинки продажу гаманців Ledger у Німеччині, а також до перевірки пристроїв та розслідування обставин.
У оновленні від 15 жовтня Ledger зазначив, що слідчі купили пристрої в магазинах різних ринків, включаючи Німеччину, і розібрали їх для фізичного огляду.
Компанія також перевірила зразки зі складу та відфільтрувала частину власного запасу.
Ledger зазначив, що у зразках, відібраних для перевірки, не було виявлено неавторизованих компонентів.
Однак компанія не розкрила, скільки пристроїв було перевірено, тому загальна кількість потенційно вплинутих продуктів залишається невизначеною.
Ledger описав цю подію як «часткову атаку розподілу» і підтримує твердження, що його виробнича система не була причиною пошкодження.
Дослідження ще не визначило точно, де саме було модифіковано кожен уражений пристрій.
Ledger вводить нові правила для ретейлерів апаратних гаманців
Як частина заходів щодо реагування, Ledger вимагає від авторизованих роздрібних продавців змінити спосіб зберігання та продажу апаратних гаманців.
Рetailers повинні припинити виставляти пристрої Ledger на витрини та стільниці. Натомість вони повинні зберігати продукт у складській зоні і передавати його клієнту лише під час покупки.
Компанія зазначила, що ці вимоги вступили в силу негайно, щоб зменшити можливість неавторизованого доступу до пристроїв.
Ledger також нагадує авторизованим дистриб’юторам, що повернені пристрої ніколи не можна продавати знову, навіть якщо упаковка виглядає незапечатаною або продукт — незастосованим.
Це правило вже існувало, але Ledger вимагає, щоб дистриб'ютори виконували його без винятків.
Рetailers must promptly notify the manufacturer when customers report abnormal products or suspicious hardware.
Під час продовження розслідування компанія посилює нагляд за авторизованою розподільчою мережею.
Ledger повідомив, що його команда безпеки провела найбільше за масштабом внутрішнє розслідування в історії компанії, залучивши кілька відділів.
Експерти з Ledger Donjon розібрали відновлені пристрої та перевірили їх роботу, щоб визначити, як зловмисники збирали відновлювальні фрази.
Виробник співпрацював із дослідниками безпеки та галузевими партнерами під час розслідування, включаючи SEAL_911.
Ledger зазначає, що команда співпрацює з правоохоронними органами для відстеження вкрадених коштів та ідентифікації інфраструктури, використаної для збору облікових даних гаманців.
Компанія не розкривала інформації про пов’язані арешти, офіційні кримінальні звинувачення або повернення коштів.
Ledger каже, що компанія планує опублікувати додаткову технічну інформацію, коли слідчі зможуть безпечно розкрити результати.
Ledger планує додатково захистити гаманець від підміни
Крім поточних обмежень для роздрібних користувачів, Ledger розробляє додаткові заходи безпеки продукту, спрямовані на ускладнення фізичного втручання.
Компанія ще не надала технічні специфікації, моделі продуктів, що стосуються, або розклад щодо впровадження цих заходів захисту.
Ledger зазначає, що поділиться результатами дослідження з іншими виробниками та продавцями апаратних гаманців, щоб вони могли оцінити подібні ризики у своїх продуктах.
Цей виробник раніше попереджав клієнтів, які купували пристрої через CryptoBilis, не ініціалізувати пристрій перед зверненням до офіційної підтримки.
Компанія рекомендує клієнтам, які вже використовували можливо впливовий гаманець, перевести свою криптовалюту на надійний пристрій та створити новий відновлювальний фразу.
Якщо зловмисник вже отримав старий відновлювальний фразу, то відновлення старої фрази на новому пристрої не забезпечує безпеку коштів.
Безпечні рекомендації Ledger наголошують, що користувачам не слід розкривати відновлювальний фразу будь-кому, хто стверджує, що є представником служби підтримки.
Компанія підкреслює, що її співробітники не будуть запитувати відновлювальні фрази через повідомлення, телефон чи веб-сайт.
У оголошенні від 15 жовтня Ledger визнав, що розслідування продовжується, і залишається ще багато роботи з безпеки.
Виробник підтвердив, що опублікує додаткові деталі щодо цієї атаки та методів, використаних злочинцями, як тільки розслідування дозволить їх розголошення.