Аппаратный кошелёк — это та часть сетапа, где вроде бы никому не нужно доверять. В пятницу, 9 октября 2026, Ledger сообщил, что расследует потери пользователей из Юго-Восточной Азии, у которых было одно общее: они купили устройства у одного и того же авторизованного реселлера — CryptoBilis.
On-chain исследователи оценивают потери более чем в $86 млн в Ethereum, Tron и Bitcoin. Ledger говорит, что его собственные системы не взломаны. Открытым остаётся вопрос: что происходило с устройствами между заводом и покупателем.
Главное
- 9 октября 2026 Ledger сообщил о расследовании потерь у пользователей, купивших устройства у CryptoBilis, и попросил реселлера приостановить продажи до его завершения.
- CryptoBilis — авторизованный реселлер Ledger в Индонезии, Малайзии и на Филиппинах.
- Ledger попросил всех, кто купил устройство у CryptoBilis за последние 90 дней, не настраивать его, а тех, кто уже настроил, — перевести средства на новое устройство с новой seed-фразой.
- Исследователь Specter оценил потери в $86 млн+; Arkham насчитал почти $87 млн на адресах вора, включая около $42 млн в ETH, $17,6 млн в BTC и $16,5 млн в USDT.
- Ledger заявил, что его «инфраструктура, системы и сервисы не были скомпрометированы», а жалоб по устройствам, купленным напрямую у Ledger, нет.
Что случилось с устройствами Ledger от CryptoBilis?
Пользователи из Юго-Восточной Азии, купившие аппаратные кошельки Ledger у авторизованного реселлера CryptoBilis, сообщили об опустошённых кошельках. 9 октября 2026 Ledger начал расследование, попросил CryptoBilis приостановить продажи и предупредил недавних покупателей не пользоваться устройствами. Главная версия — подделанное или контрафактное железо, но она не подтверждена.
Как пишет Decrypt, Ledger попросил реселлера остановить продажи «до получения результатов нашего расследования». Рекомендация клиентам прямая: если покупал у CryptoBilis за последние 90 дней — не инициализируй устройство. Если уже инициализировал — переведи средства на новое устройство со свежесгенерированной seed-фразой.
Так же чётко Ledger обозначил, чего, по его мнению, не было. Как сообщает Cointelegraph, компания заявила, что «инфраструктура, системы и сервисы Ledger не были скомпрометированы», и жалоб по устройствам, купленным напрямую у Ledger, она не видела.
Сколько украли?
Оценки сходятся в районе $86–87 млн, но финальной цифры нет. On-chain исследователь Specter написал «total losses $86M+» по Ethereum, Tron и Bitcoin. Arkham насчитал почти $87 млн на адресах вора. По одному более позднему подсчёту, к 10 октября сумма дошла до $93,2 млн из 315 кошельков в шести сетях, но эта цифра не подтверждена.
| Актив (Arkham) | Примерная сумма на адресах вора |
|---|---|
| ETH | ~$42 млн |
| BTC | $17,6 млн |
| USDT | $16,5 млн |
| Всего (все активы) | почти $87 млн |
Исследователь tanuki42 связал восемь адресов с более чем $72 млн и осторожно оценил связь с реселлером: «Не наверняка, но я не знаю ни одного заявления жертвы, где не фигурировал бы этот реселлер». Около $270 тыс. в USDT и TRX ушло на Binance. Чанпэн Чжао предположил контрафакт или подделанные устройства и призвал индустрию «помочь отследить и вернуть средства».
История со спрятанным модемом
Самое громкое заявление — от Марка Карпелеса: по имеющимся данным, он нашёл LTE-модуль, антенну, eSIM и микроконтроллер под прокладкой экрана у запечатанного в плёнку Ledger, купленного в Малайзии. Ledger связь с потерями у клиентов CryptoBilis не подтвердил, так что до конца расследования это стоит считать непроверенным.
Твои ключи защищены ровно настолько, насколько надёжна коробка, в которой они приехали.
Безопасен ли мой аппаратный кошелёк, если я купил его у реселлера?
Скорее всего да, но случай CryptoBilis показывает, почему цепочка поставок важна. Ledger говорит, что устройства, купленные напрямую, не затронуты, а его системы не взломаны. Если ты покупал у CryptoBilis за последние 90 дней — следуй рекомендации Ledger: не настраивай устройство или переведи средства на новое с новой seed-фразой.
Всем остальным несколько проверок снижают риск получить подделанный экземпляр:
- Покупай у производителя, если есть возможность. Реселлер добавляет звено, которое ты не можешь проверить.
- Никогда не принимай готовую seed-фразу. Настоящее устройство генерирует фразу при первой настройке. Карточка с уже напечатанными словами — красный флаг.
- Пройди проверку подлинности в официальном приложении производителя, прежде чем заводить средства.
- Начни с небольшой суммы и понаблюдай за адресом пару дней, прежде чем переносить сбережения.
Ни один из этих шагов не гарантирует защиту от изощрённого аппаратного вмешательства. Но вместе они сильно усложняют дешёвые атаки. Подробнее о компромиссах — в нашем гиде по холодному хранению и подборке лучших биткоин-кошельков.
Что это значит для тех, кто делает свапы
Свап безопасен ровно настолько, насколько безопасен адрес, на который он платит. SwapZilla — non-custodial: нет аккаунта и нет баланса, каждый обмен отправляет результат прямо на адрес кошелька, который ты указал. Значит, безопасность этого кошелька целиком на тебе. Если ты недавно купил устройство у CryptoBilis, не используй его адреса для получения или как адрес возврата, пока не перешёл на новое устройство и новый seed. Как устроен процесс — в разделе как работает SwapZilla; статус любого обмена можно проверить на странице отслеживания.
Почему атака через реселлера важна для self-custody?
Self-custody убирает один риск — биржа заморозит или потеряет твои средства — и заменяет его другим: ты отвечаешь за каждое звено своей цепочки, включая то, откуда пришло железо. Случай CryptoBilis бьёт ровно в это звено, и он масштабируется: один скомпрометированный дистрибьютор достаёт до сотен кошельков.
И это через месяц после другой истории с аппаратными кошельками, когда фишинговые письма разослали через взломанного email-провайдера Trezor, — мы писали о фейковых алертах Trezor и BitBox. Поверхность атаки всё дальше уходит от самого чипа ко всему вокруг: рассылкам, реселлерам, упаковке.
Финальная мысль
Расследование Ledger, начатое 9 октября, ещё идёт, и точный механизм потерь на $86 млн+ не подтверждён. Ясна картина: жертвы связаны с одним авторизованным реселлером, жалоб по прямым покупкам нет, собственные системы Ledger, по его словам, целы.
Урок старый и до сих пор недооценённый. Аппаратный кошелёк — это устройство безопасности, а устройство безопасности, полученное не из первоисточника, приходится проверять самому. Сомневаешься — сгенерируй новый seed на железе, которому доверяешь. До того, как средства уйдут, а не после.