Импланты в Ledger: как украли до $102 млн и что известно сейчас

Через кошельки Ledger, проданные реселлером CryptoBilis в Юго-Восточной Азии, злоумышленники украли, по подсчёту Bitquery, до $102 млн с 324 кошельков в шести блокчейнах. Внутри устройств стоял посторонний модуль с собственной eSIM: при настройке он считывал с экрана 24 слова фразы восстановления и отправлял их по мобильной сети. Ledger подтвердил имплант, но общую сумму ущерба и число пострадавших пока не называет, а 13 октября попросил продавцов в семи странах и территориях Азии снять устройства с полок.

Что известно сейчас

• Ущерб — от $86 млн (Specter) до $102 млн (Bitquery); это оценки по данным блокчейна, Ledger их не подтвердил.
• Все подтверждённые кражи связаны с устройствами, проданными CryptoBilis; опустошений кошельков, купленных в других местах, Ledger не подтвердил.
• Ledger попросил реселлеров в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, в Малайзии и Гонконге приостановить продажи и убрать устройства с полок.
• Tether заморозил $10 млн USDT; около $84 млн, по данным Bitquery на 13 октября, оставалось на адресах злоумышленника и постепенно отмывается через обменники и Tornado Cash.
• Кто и на каком этапе поставки вскрыл устройства, не установлено; присланные кошельки разбирает команда безопасности Ledger Donjon, компания работает с правоохранительными органами.

Как это произошло

Это физическая атака на цепочку поставок, а не взлом прошивки Ledger. По описанию Ledger Donjon, имплант стоит внутри корпуса и читает данные, которые выводятся на экран. При первой настройке устройство показывает 24 слова фразы восстановления; микроконтроллер импланта распознаёт эти экраны, расшифровывает слова и передаёт их по сети LTE через встроенную eSIM. Защищённый чип Secure Element, операционную систему, транзакции и подписи имплант не трогает.

Фраза восстановления — главный ключ кошелька: зная её, злоумышленник восстанавливает кошелёк на своём устройстве, и аппаратный кошелёк жертвы ему больше не нужен. Поэтому удар пришёлся на момент настройки, а не на подпись транзакций. Ончейн-данные показывают, что фразы копились неделями: по разбору Bitquery, служебные адреса злоумышленника в Tron и Ethereum получили первые средства 25 сентября, а с 26 сентября по 7 октября он прогнал десятки мелких тестовых переводов. Затем 9 октября кошельки опустошили почти одновременно.

По данным The Block, бывший глава Mt. Gox Марк Карпелес заявил, что нашёл шпионский модуль в Ledger Flex, купленном в аэропорту Сингапура; Ledger связь этого случая с CryptoBilis не подтвердил.

Хроника

25 сентября. Служебные адреса злоумышленника в Tron и Ethereum получают первые средства с разницей в три минуты (Bitquery).

9 октября, 07:59 МСК. Ключ злоумышленника добавлен в права управления 30 кошельков в Tron; через восемь минут начинается вывод USDT.

9 октября, 08:54 МСК. В одном блоке опустошены 111 биткоин-кошельков.

9 октября, около 15:00 МСК. Ончейн-аналитики tanuki42 и Specter публикуют адреса сбора; их оценки — более $72 млн и более $86 млн в Bitcoin, Ethereum и Tron (The Block).

9 октября, 15:09⁠–⁠17:10 МСК. Tether блокирует 37 адресов, на 20 из них — $10 млн USDT.

9 октября, 16:32 МСК. Ledger сообщает о расследовании, просит CryptoBilis остановить продажи и отгрузки и советует купившим у реселлера за последние 90 дней не настраивать устройства.

9 октября, 18:17 МСК. Первая партия эфира уходит в Tornado Cash.

10 октября, 20:09 МСК. Ledger подтверждает посторонний имплант в устройстве одного из пострадавших.

11 октября, 20:13 МСК. В «отчёте через 72 часа» Ledger пишет, что работает с властями, число затронутых устройств «ограничено», а CryptoBilis прекратил продажу всех аппаратных кошельков. В тот же день PeckShield отслеживает около 3,69 млн USDT и 615 тыс. TRX, ушедших на депозитные адреса Binance (Crypto Briefing).

12 октября. CoinDesk со ссылкой на Bitquery пишет о $93 млн отслеженных средств и $10 млн замороженных (CoinDesk).

13 октября, 09:39 МСК. Ledger Donjon раскрывает механизм: имплант считывает фразу восстановления с экрана и передаёт её по LTE через eSIM. Bitquery поднимает оценку до $102 млн с 324 кошельков.

13 октября, днём. MediaMarktSaturn убирает все продукты Ledger из магазинов и с сайтов после жалобы покупателя из Германии; краж в этом случае, по словам Ledger, нет. Trezor и OneKey исключают CryptoBilis из числа продавцов, OneKey обещает бесплатную замену устройств (The Block).

14 октября, 01:03 МСК. Ledger просит реселлеров и дистрибьюторов в семи странах и территориях Азии приостановить продажи и снять устройства с полок. Подробнее — в нашей новости.

Куда ушли деньги

По подсчёту Bitquery (в долларах по ценам 9 октября):

Часть кошельков пострадала сразу в нескольких сетях, поэтому сумма строк больше 324.

Основную добычу, USDT в Tron, злоумышленник спешно выводил из-под заморозки. Около $23,7 млн он обменял на стейблкоин USDD, который Tether заблокировать не может, и затем через THORChain — на эфир; всего через THORChain прошло 26,9 млн USDT, на выходе — 10 636 ETH. Ещё 20 млн USDT через мост USDT0 ушли в Ethereum и превратились в 7 994 ETH. Использовались и другие обменники: Relay.link (около $9,4 млн), Chainflip (около $4,6 млн), NEAR Intents.

С 9 по 13 октября в Tornado Cash ушло около 6 840 ETH; большая часть, по оценке Bitquery, затем прошла через Zcash и NEAR Intents в USDC и ETH (аналитики оценивают эти связи как вероятные, но не доказанные). На двух вероятных адресах злоумышленника лежат 2,38 млн USDC, которые ещё может заморозить Circle. Сумма средств на отслеживаемых адресах снизилась с $97 млн утром 10 октября до $84 млн утром 13 октября.

Что сделали команда и биржи

• Ledger остановил продажи через CryptoBilis, затем — у всех реселлеров в семи странах и территориях Азии, работает с правоохранительными органами и благодарит за помощь команду экстренного реагирования SEAL 911. Покупателям у CryptoBilis компания советует не настраивать нераспечатанные устройства, а с уже настроенных — перевести средства на новое устройство с новой фразой восстановления; пострадавшим — обратиться в полицию до вскрытия устройства.
• CryptoBilis прекратил продажу аппаратных кошельков всех марок; публичных объяснений о том, как модули попали в устройства, реселлер не давал.
• Tether заморозил $10 млн USDT на 20 адресах.
• MediaMarktSaturn снял продукты Ledger с продажи в Европе; Trezor и OneKey разорвали отношения с CryptoBilis, Trezor к тому же сокращает свою сеть реселлеров.
• Binance публично не комментировал депозиты, которые отследил PeckShield.

Что это значит для держателей

У Ledger нет своего токена, поэтому рыночной реакции в привычном смысле нет. Главный урок — о канале покупки: защищённый чип не спасает, если устройство вскрыли до того, как оно попало к покупателю, а имплант перехватывает не ключ, а картинку на экране. Поэтому компании-производители настаивают на покупке только напрямую у них или у официальных продавцов.

Для владельцев Tether история показывает обе стороны централизованного стейблкоина: $10 млн удалось заморозить за первые часы, но злоумышленник быстро ушёл в USDD и эфир, где такой кнопки нет. Живые рыночные данные — в сводке дня.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 14 октября 2026, 05:30 МСК.