Хтось вивіз приблизно 91 мільйон доларів США. 203 BTC одночасно надійшли до двох адрес у одному блоці, а за ту ж годину на блокчейні Tron було переміщено близько 58 мільйонів доларів США USDT. Гроші були виведені з партії апаратних гаманців Ledger, а мнемонічні фрази були відправлені ще в день ввімкнення користувачем пристрою. Хтось розібрав Ledger, куплений у Малайзії, і під екраном знайшов невелику плату з eSIM. @MagicalTux 8 жовтня опублікував фотографії розібраного пристрою. На цій платі було впаяно LTE-модуль, який нічого не робив, крім як спостерігав за екраном. Коли ви увімкнете пристрій, активуєте його та по черзі вводите 24 слова мнемонічної фрази — ці слова вже відправляються через мобільну мережу. Сама програма Ledger Live не виявляє ніяких порушень: чіп Ledger у пристрої справжній, а шкідливе обладнання розташоване під екраном. Я довго збільшував ці фотографії — паяльні шви були акуратними, не схожими на продукт саморобки. У Малайзії є магазин апаратних гаманців під назвою CryptoBilis. На офіційному сайті Ledger цей магазин зазначений як авторизований дистриб’ютор у Малайзії, Індонезії та Філіппінах щонайменше з 2022 року. Це нормальний магазин, який роками продавав справжні товари. Але у березні цього року засновники продали всю компанію. Угода передбачала конфіденційність: колишні акціонери не мали право публічно повідомляти про зміну власника до 19 жовтня. До серпня цього року в реєстраційних даних залишився лише один власник на 100% — ім’я Jiaming, адреса реєстрації — Хейлунцзян. Магазин продовжував працювати, сайт залишився незмінним, домен не змінювався, табличка «Авторизований Ledger» залишилася на місці. Колишні співзасновники згодом заявили, що стара команда вже не має доступу до бекенду компанії. Потім 8 жовтня з’явився пост із розбором — 120 000 переглядів. За 22 години після публікації поста люди, що мали ці мнемонічні фрази, вивели всі кошти. Приблизно через 7 годин після переказу коштів Ledger оголосив, що розслідує інцидент і вимагає в CryptoBilis призупинити продаж та відправку товару. Вчора Ledger підтвердив, що у пристроях постраждалих користувачів дійсно було встановлено неавторизоване апаратне забезпечення. До цього моменту ніхто офіційно не зв’язав нових власників із цими підфальшеними пристроями, і Ledger не пояснив, як ці плати потрапили до пристроїв. Але шлях очевидний: не потрібно було взламувати безпечний чип і не потрібно було модифікувати прошивку — достатньо було купити авторизовану марку, яка мала трирічну репутацію, і продавати через неї пристрої, які самостійно зв’язувалися з мережею. Коли з’явився пост із розбором — всього за один раз вивели всі кошти. Табличка «Авторизований дистриб’ютор» раніше належала команді, яка заснувала цей магазин у 2022 році. Компанія змінила власника у березні, а табличка залишилася на місці — і до сьогодні ніхто не перевірив, хто тепер є власником.