🩸Купили Ledger у официального реселлера и остались без крипты.

Речь про покупателей из Юго-Восточной Азии, которые брали устройства у CryptoBilis. Ledger уже подтвердил, что в одном из кошельков пострадавшего нашли аппаратный имплант (проще говоря, постороннюю железку внутри устройства).

При этом продавец стоял в списке на сайте самого производителя. То есть люди не с рук кошельки брали. Проверяли, где покупают, и имели вполне нормальные основания доверять.

Я вообще не понимаю, почему надпись «официальный реселлер» должна закрывать все вопросы безопасности. Вы знаете, где конкретный магазин берёт каждую партию? Как хранит устройства? Что делает с возвратами? Вот и я не знаю. Покупатель видит статус продавца и нормальную упаковку. А всю историю конкретного кошелька он проверить никак не может.

Сначала Specter насчитал больше 86млн$ потерь. Потом MistTrack написал, что сумма подбирается к 90млн$. А в расчёте Bitquery от 12 октября уже 102млн$, выведенных с 324 кошельков. Это оценки аналитиков, итоговую сумму Ledger пока не подтвердил.

В разошедшемся сообщении один из пострадавших просит вернуть хотя бы 50-80% денег, тк там пенсионные накопления и будущее детей. Человек покупал устройство, чтобы сохранить капитал. А теперь вынужден "договариваться" с уродом, который его обокрал, но понятно что ничего не вернут.

Появилось и сообщение об устройстве, купленном у официального реселлера уже в Европе. Фотографии комментировал Марк Карпелес, который как раз разбирает такие импланты. Ledger этот случай пока не подтвердил. Но списывать всю историю на один магазин в Азии рано.

Кстати, сам Ledger пишет, что проверка подлинности не обнаруживает посторонние физические изменения, если оригинальный защищённый чип остаётся целым. То есть кошелёк с имплантом спокойно может эту проверку пройти)
А имплант при этом способен перехватить seed, который устройство показывает при настройке. Поэтому бумажка в сейфе вас не спасёт, если копия слов уже у постороннего. Хоть вообще больше не подключайте устройство - доступ у этого человека всё равно остаётся.

CZ на этом фоне советует после покупки нового кошелька подождать пару недель, прежде чем переводить туда крупные суммы, и следить за новостями. Логика понятна: дать время всплыть сообщениям о проблемах. Только две недели ожидания сами по себе нихера в устройстве не проверяют. И если небольшая сумма прошла нормально, это тоже не доказывает, что с остальными деньгами всё будет в порядке.

Понятное дело, что и покупка напрямую не даёт абсолютной гарантии. Но по обновлению Ledger от 11 октября все подтверждённые случаи связаны с CryptoBilis, а прямой канал продаж компании не затронут.

Тем, кто покупал у этого реселлера, рекомендуют новые устройства не настраивать. А с уже настроенных переносить средства на устройство, купленное у самого Ledger, с новой seed-фразой. Именно с новой. Если перенести ту же фразу на другой кошелёк, доступ так и останется у того, кто уже получил её копию.

Короче. Если покупать холодный кошелёк, то только напрямую у производителя, через проверенный официальный сайт. И дальше обычные правила: seed не фоткать и в облака не кидать, приложение только официальное, адрес и операцию проверять на экране самого устройства.

Будьте осторожны и учитесь на чужих ошибках. По крайней мере старайтесь это делать.☝️