Куала-Лумпур / Париж, 18 октября. Малайзийский розничный продавец аппаратных криптокошельков CryptoBilis оказался в эпицентре расследования крупнейшей на сегодняшний день атаки на цепочку поставок в сегменте холодного хранения цифровых активов. Клиенты, приобрётшие устройства Ledger через CryptoBilis, начали сообщать о пропаже средств 9 октября, а аналитические компании по блокчейну оценивают совокупные потери в диапазоне от $86 млн до $94,5 млн. Парижская Ledger SAS подтвердила, что в по меньшей мере одном затронутом устройстве обнаружен несанкционированный физический имплант, и заявила о взаимодействии с правоохранительными органами в рамках расследования.
Хронология и география инцидента
Сообщения о списаниях средств поступили от пользователей из Индонезии, Малайзии и Филиппин — рынков, которые обслуживает CryptoBilis, числившийся авторизованным реселлером Ledger. 9 октября Ledger Support инициировала проверку и потребовала от CryptoBilis приостановить все продажи и отгрузки устройств. На следующий день компания подтвердила наличие постороннего компонента в устройстве одного из пострадавших клиентов. К 13 октября Ledger опубликовала технические детали импланта, а 14 октября расширила запрет на продажи, распространив его на всех дистрибьюторов в Юго-Восточной Азии (Индонезия, Сингапур, Таиланд, Филиппины, Вьетнам, Малайзия) и Гонконге до завершения проверок безопасности устройств. Физические магазины CryptoBilis в Куала-Лумпуре закрыты, на входе размещено уведомление о временной приостановке работы.
Техническая архитектура атаки: имплант вне контура Secure Element
Согласно данным, раскрытым подразделением безопасности Ledger Donjon, имплант представляет собой отдельный микроконтроллер, размещённый внутри корпуса устройства и подключённый к дисплею. При первичной настройке кошелька Ledger отображает 24-словную фразу восстановления (seed phrase), служащую мастер-ключом ко всем активам. Микроконтроллер распознаёт и декодирует слова непосредственно с экрана, после чего передаёт их по сети LTE через предусмотренную eSIM. Ключевая особенность атаки состоит в том, что имплант не модифицирует Secure Element — чип, отвечающий за хранение приватных ключей и подписание транзакций, — не изменяет операционную систему Ledger и не вмешивается в сами транзакции или цифровые подписи. Именно поэтому встроенные процедуры самопроверки целостности Ledger (integrity self-checks) не выявляют компрометацию: легитимный криптографический контур остаётся нетронутым, а утечка происходит на уровне отображения информации.
Иными словами, атака обходит модель угроз, на которую рассчитаны аппаратные кошельки: предполагается, что приватный ключ никогда не покидает защищённый элемент, однако фраза восстановления, необходимую для его воссоздания, перехватывают в момент, когда она неизбежно появляется на экране.
Масштаб потерь и маршруты средств
Оценки ущерба разнятся в зависимости от методологии и охвата сетей. Аналитик Specter оценил потери более чем в $86 млн на сотнях кошельков в сетях Bitcoin, Ethereum и TRON. Платформа Bitquery, отслеживающая транзакции на пяти блокчейнах, зафиксировала $92,9 млн, выведенных с 311 кошельков в сетях TRON, Bitcoin, Ethereum, BNB Chain и Polygon. Исследовательская платформа YFarmX сообщает о $94,5 млн с 521 адреса на семи блокчейнах. Все оценки основаны на публичных данных блокчейна и не подтверждены Ledger в качестве окончательной суммы убытков.
Согласно анализу Bitquery, десятки кошельков подписали один и тот же запрос на вывод в течение нескольких секунд после двухнедельных тестовых прогонов, что указывает на единого оператора, владевшего ключами ко всем взломанным адресам. Основную часть похищенных активов составили USDT и токены TRON. Впоследствии часть средств прошла через миксер Tornado Cash и Zcash, однако аналитикам удалось проследить дальнейшее перемещение: порядка $86 млн оставалось на цепочке по состоянию на 11 октября. Tether заморозила $10 млн в USDT, связанных с кражей, в 20 кошельках; ещё $2,1 млн в USDC, полученных после микширования, могут быть заморожены Circle. Компания PeckShield сообщила, что около $3,9 млн похищенных средств были депонированы на счета Binance в сети TRON в течение двух дней до 11 октября.
Позиция Ledger и регуляторный ответ
Ledger настаивает на том, что инцидент носит изолированный характер и не является следствием уязвимости её чипа, операционной системы или серверов. «Это была атака на канал дистрибуции после того, как устройства покинули наш контроль», — подчёркивается в заявлении компании, которая квалифицировала произошедшее как одно из самых изощрённых нападений, с которыми сталкивалась индустрия цифровых активов. По данным Ledger, «высокоорганизованная преступная группа» приобретала устройства, устанавливала импланты, способные считывать seed-фразы, и возвращала их в цепочку поставок через реселлеров; злоумышленники, по утверждению компании, выстроили собственную логистическую и технологическую инфраструктуру, включая серверы для сбора seed-фраз и инфраструктуру для вывода и отмывания средств, потратив на подготовку миллионы и осуществив скоординированную операцию. В рамках «крупнейшего расследования в своей истории» Ledger направила сотрудников на другие рынки, включая Европу, для проверки цепочек поставок; по её данным, проверенные устройства чистые.
Компания дала ряд рекомендаций: не активировать неиспользованные устройства, приобретённые через CryptoBilis за последние 90 дней, и не вскрывать их упаковку; владельцам уже активированных кошельков — перевести активы на новый кошелёк, сгенерированный на гарантированно подлинном устройстве с новой seed-фразой. CryptoBilis не ответил на запросы о комментариях.
Однако попытка Ledger ограничить периметр инцидента рамками одного реселлера встретила возражения: CryptoBilis был указан как авторизованный продавец на сайте компании, и критики указывают, что ответственность за безопасность канала продаж лежит на производителе. Кроме того, поступают сообщения об имплантах в устройствах, приобретённых у других продавцов — в частности, в магазине Metapod в аэропорту Сингапура и через MediaMarkt в Европе, которая получает устройства от дистрибьютора Aqipa GmbH и уже сняла продукт с полок. Ledger заявляет, что не подтвердила ни одного случая вывода средств с кошелька, купленного вне CryptoBilis, но продолжает проверку сообщений о модификациях оборудования в других точках продаж.
Отдельного внимания заслуживает корпоративная история самого реселлера: в ходе расследования выяснилось, что CryptoBilis сменил собственника в марте 2026 года, и регистрационные данные указывают на гражданина Китая. Это обстоятельство усиливает вопросы о том, на каком этапе цепочки поставок был внедрён имплант и кто контролировал дистрибуцию.
Аппаратные кошельки как операционный риск
Инцидент с Ledger — не изолированный случай, а звено в серии компрометаций, подрывающих представление о холодных кошельках как о наиболее защищённом инструменте хранения криптовалют. Летом 2026 года программная уязвимость в устройствах Coinkite привела к краже биткоинов на сумму около $120–130 млн, а Trezor столкнулся с утечкой персональных данных примерно 67 тыс. клиентов через одного из поставщиков логистических услуг. На этом фоне атака через физический имплант переводит проблему в иную плоскость: если предыдущие инциденты были связаны с программными дефектами или утечками данных, то здесь злоумышленники физически вскрывали устройства и модифицировали их до того, как владелец извлекал гаджет из коробки.
«Это показывает, что хранение криптографических данных представляет собой операционный риск, а не только криптографический, — отметила Эсме Пау, руководитель отдела рынков капитала и политики компании CertiK. — Реальная безопасность зависит от всего процесса». Данная формулировка точно описывает суть проблемы: криптографическая стойкость Secure Element остаётся высокой, однако безопасность конечного пользователя определяется всей цепочкой — от производственной линии до прилавка реселлера, включая логистику, контроль подлинности и поведение персонала.
Реакция рынка последовала незамедлительно: конкурирующий производитель Trezor объявил о сокращении сети реселлеров с 1 января 2027 года и ужесточении требований к партнёрам, включая обновлённую юридическую базу и более строгие проверки источников, хранения и обращения с устройствами. Ledger, в свою очередь, приостановила продажи через широкий круг дистрибьюторов в Азии и Гонконге, что неизбежно отразится на выручке в одном из ключевых регионов роста.
Предварительные выводы
Расследование продолжается: полный перечень скомпрометированных устройств, точный механизм проникновения имплантов в цепочку поставок и окончательный объём убытков aún не установлены. Для институциональных и розничных держателей цифровых активов инцидент служит сигналом о необходимости пересмотра модели угроз: аппаратный кошелёк, приобретённый вне прямого канала производителя, больше не может рассматриваться как безусловно доверенный компонент инфраструктуры хранения. Для производителей — это предъявление счёта за безопасность канала дистрибуции, который до сих пор оставался слабым звеном в архитектуре, ориентированной на защиту от онлайн-угроз.