СреднийII Кибервойна и критическая инфраструктура11 октября 2026 г., воскресенье
Ledger подтвердил шпионский LTE-чип в кошельках из дилерской цепочки
10 октября Ledger подтвердил аппаратное вмешательство как минимум в одно устройство. 11 октября компания сообщила, что все жалобы на вывод средств связаны с устройствами, проданными через малайзийского дилера CryptoBilis. Оценки ущерба составляют от 71,5 до 86 млн $ и не подтверждены.
Как пишет BleepingComputer 12 октября, имплант считывает вывод экрана и нажатия клавиш устройства и перехватывает фразу восстановления. Это набор слов, из которого создаётся главный ключ кошелька. Затем имплант отправляет её злоумышленнику по сети LTE через eSIM. По словам исследователей, импланты появляются в устройствах с 16 сентября, а вскрытые устройства продавались почти вдвое дешевле оригинала. Из 2 изученных вариантов один уменьшает батарею, чтобы освободить место, другой помещается в пенную прослойку под экраном. Собственная проверка подлинности Ledger не обнаруживает добавленный имплант, пока защищённый элемент — чип, хранящий ключ, — остаётся нетронутым.
По данным Gizmodo от 9 октября, Ledger указывал CryptoBilis как дилера для Индонезии, Малайзии и Филиппин. Компания попросила дилера остановить продажи и отгрузки. Тем, кто купил у него устройство за последние 90 дней, она посоветовала не начинать настройку. По неподтверждённым данным отслеживания Arkham Intelligence, на помеченных адресах видно около 71,5 млн $. Оценка аналитика, которую приводит Crypto Briefing, превышает 86 млн $. Ledger не обвинял дилера во вмешательстве. Где именно был установлен имплант — у дилера или раньше, — подтвердить не удалось. Один из изученных образцов купили на Amazon Japan у продавца из Китая, отправлявшего товар из Малайзии.
Оценка Talay
Вывод
Атака была нацелена не на программное обеспечение, а на физическое устройство в цепочке дистрибуции и обошла собственную проверку подлинности производителя. Это показывает, что та же уязвимость есть у любого оборудования, где контроль происхождения и подлинности смотрит только на главный чип. Наиболее вероятно, что производители аппаратных кошельков сузят сеть авторизованных дилеров и дополнят выявление вскрытия физическим осмотром.
Возможные последствия
- Доверие к криптохранениюНегативноНедели
Раз проверка подлинности не поймала имплант, доверие к сторонним дилерам падает. Это ускорит переход к продажам напрямую от производителя.
- Безопасность поставок оборудованияНегативно1–6 месяцев
Оборудование, доработанное на этапе дилера или логистики, ставит вопрос о физическом осмотре и корпоративных устройств — помимо документов о происхождении.
- ТурцияНегативноНедели
В Турции криптоактивы широко распространены, и значительная часть устройств покупается на маркетплейсах. Риск неавторизованных каналов касается и турецких пользователей.
Вероятные сценарии
- 1Инцидент ограничивается одним дилером55 %
Расследование связывает имплант с одним каналом дистрибуции. Ledger выявляет пострадавших пользователей, и сумма потерь уточняется.
Что отслеживать: Заявление Ledger о числе затронутых устройств и сумме потерь
- 2Образцы находят в других каналах35 %
Находят устройства с имплантом, купленные на других маркетплейсах. Становится ясно, что это организованная операция в цепочке поставок.
Что отслеживать: Сообщение об устройстве с имплантом, купленном не через CryptoBilis
- 3Исполнителей находят10 %
Полиция Малайзии или другой страны выявляет группу, устанавливавшую импланты, и часть средств замораживают.
Что отслеживать: Заявление полиции Малайзии или эмитентов стейблкоинов о заморозке средств
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Сумма на помеченных адресах▼ 71,5 млн $
- Рынки дилера▼ 3 страны