💀 Леджер приехал с «закладкой» прямо в заводской коробке

Главный миф холодного кошелька — «железо = безопасно» — на прошлой неделе дал трещину. И виноват тут не взломщик, а... продавец (WTF?!!!😨).

9 октября Ledger подтвердил расследование: у пользователей в Юго-Восточной Азии, купивших устройства у реселлера CryptoBilis, начали уводить средства. Тем, кто купил за последние 90 дней, компания советует вообще не включать девайс, а уже настроившим — срочно переносить активы на новый Ledger с новым сидом (сильно не уверен, что переведут именно на новый Ledger).

🔖 Как работала закладка

CryptoBilis больше четырёх лет был авторизованным продавцом Ledger, Trezor и OneKey. В марте бизнес продали новому владельцу — человеку из провинции Хэйлунцзян на севере Китая. Дальше, по ончейну, схема выглядела так:

1️⃣ в оригинальный Ledger Nano X перед продажей вживляли лишний чип под прокладкой экрана;
2️⃣ чип считывал всё, что выводится на дисплей, включая seed-фразу при настройке;
3️⃣ данные уходили по LTE третьей стороне, которая спокойно восстанавливала кошелёк и выводила баланс.

Экс-глава Mt.Gox Марк Карпелес вскрыл свой Ledger, купленный в Малайзии, и нашёл ровно это: SIM-модуль, антенну и микроконтроллер, подключённый к линии экрана. Упаковка при этом оставалась заводской.

🔒 Почему штатная проверка это пропускает

Ledger Genuine Check проверяет подлинность защищённого чипа (Secure Element) — а он в этих устройствах не тронут. Но проверка не контролирует, что именно выводится на экран, и не видит посторонние модули в другом месте платы. Устройство с имплантом честно проходит аутентификацию.

📊 Сколько увели и куда

Ранняя оценка была $86M, но полная ончейн-трассировка Bitquery даёт $93.2M с 315 кошельков на шести сетях. 9 октября всё опустошили за 47 минут. Соцсети в первые часы назвали лидером 🪙Ethereum, но по полной трассировке доминирует 🪙TRON ($70.5M), а ETH — всего $3.7M.

Tether успел заморозить около $10M USDT. Но злоумышленники это учли заранее: 14.9M USDT перегнали в USDD — стейбл экосистемы TRON, который Tether заморозить не может.

Самая крупная жертва завела на свежий кошелёк 80 BTC и лишилась всего баланса одним блоком уже через три дня 😱. Стремненько...

❗️ Чего мы пока не знаем

Связь нового владельца с КНДР уже муссируют по каналам, но ни один ончейн-источник её не подтверждает — пока это только «китаец из Хэйлунцзяна».
CZ тоже пытается осадить панику, называя это точечной атакой на конкретный канал дистрибуции, а не вскрытие всего железа Ledger как такового. Доказательств дыры во всех устройствах нет (вам ведь сразу стало спокойнее, правда?? 😠).

• • • • • • • • • •

«Not your keys, not your coins» — старая мантра самокастоди. Этот кейс добавляет к ней вторую строчку: not your hardware, not your coins. Холодный кошелёк защищает тебя от кого угодно, кроме того, кто продал тебе сам кошелёк.

А самое интересное место всей истории — даже не чип, а NDA о смене владельца, действовавшее до 19 октября, под которым молчали те немногие люди, что знали о нем. Слив денег начался как раз за десять дней до его окончания.

❝[Консенсус Тьюринга]❞ | 💬 Чат | 🔄 Проверенная обменка