🪙Купил аппаратный кошелёк. Внутри уже сидел чужой чип

9 октября Ledger объявил о расследовании: у сотен пользователей в Юго-Восточной Азии пропало больше $86 млн. Биткоин, Ethereum, TRON.
Кошельки куплены через официального реселлера CryptoBilis - Малайзия, Индонезия, Филиппины. Упаковка целая, всё выглядело оригинальным.

Один из исследователей разобрал устройство и нашёл внутри микрочип 2x2 мм, подключённый к линиям дисплея.
При первой настройке кошелька на экране появляются 24 слова seed фразы. Чип перехватывал их в момент отображения и передавал злоумышленникам. Человек думал, что настраивает защищённый кошелёк, а по факту отдавал ключи. Деньги уходили не сразу. Иногда через недели, ждали, пока на счету наберётся достаточно.

Это называется атака на цепочку поставок. Устройство вскрывают где-то между заводом и покупателем. Не нужно взламывать протокол или фишить пользователя, достаточно одного дня доступа к партии товара. Ledger остановил продажи через CryptoBilis и начал расследование. Точный масштаб потерь пока не подтверждён официально.

Аппаратный кошелёк покупают именно потому, что не доверяют интернету. Это последняя линия защиты.
В этот раз угроза пришла не из сети. Она уже была внутри коробки.