Ledger: кражи на $87⁠–⁠94 млн связаны с реселлером CryptoBilis

Ledger сообщил в воскресенье, 11 октября, что все подтверждённые случаи недавних краж связаны с устройствами, проданными юго-восточным реселлером CryptoBilis. По оценкам ончейн-аналитиков, с кошельков на таких устройствах украдено от $86 до $94,5 млн; сам Ledger общую сумму не подтверждал. Компания начала разбирательство в пятницу, 9 октября, после жалоб покупателей из Юго-Восточной Азии. Обновление опубликовано накануне, а 12 октября его разобрали CoinDesk и Decrypt.

Подробности

Оценки ущерба расходятся. Специалист Specter насчитал более $86 млн в Ethereum, Tron и Bitcoin. Bitquery отследила $93,2 млн (в основном USDT и токены Tron) с 315 кошельков в шести блокчейнах. YFarmX называет $94,5 млн и 521 адрес в семи сетях. Все цифры основаны на публичных данных блокчейна, Ledger их не подтвердил.

Ledger называет масштаб «ограниченным» и подтвердил, что в как минимум одном устройстве от CryptoBilis обнаружен несанкционированный имплант. Не сказано, так ли были взломаны украденные кошельки и как именно вмешались в устройства. По словам Ledger, собственные системы и прямые продажи не затронуты, CryptoBilis прекратил продажу аппаратных кошельков. Покупателям у реселлера советуют не настраивать нераспечатанные устройства, а тем, кто уже пользуется, — перенести средства на новое устройство, купленное у Ledger, с новой seed-фразой. Ledger напомнил, что никогда не просит 24 слова восстановления.

По данным Bitquery, Tether заморозил $10 млн USDT; на 11 октября около $81 млн ещё можно было отследить, часть средств прошла через Tornado Cash и Zcash. YFarmX утверждает, что 15 млн украденных USDT обменяли на USDD, который Tether заморозить не может, а в её списке — более 450 опустошённых кошельков (данные не проверены независимо). Критики напоминают, что CryptoBilis значился на сайте Ledger как авторизованный продавец, и требуют от компании ответственности. Ledger пока не ответил, возместит ли потери.

Что это значит для рынка

Случай бьёт по главному аргументу в пользу аппаратных кошельков: ключи вне интернета надёжны, только если само устройство не подменили по дороге к покупателю. Угроза цепочки поставок касается не одного бренда, и Ledger уже обещает пересмотреть контроль над реселлерами и просит индустрию выработать стандарты защиты от вскрытия.

Урок и для Tether: заморозка $10 млн показывает, что стабильные монеты поддаются блокировке, в отличие от биткоина и эфира, а обмен на USDD эту защиту обходит. Расследование продолжается, цифры могут измениться; живые рыночные данные — в сводке дня.