Ledger подтвердила, что один из устройств-кошельков, проданных через малайзийского дистрибьютора CryptoBilis, содержал несанкционированную аппаратную имплантацию. Это произошло после сообщений о потере пользователями криптоактивов с устройств, приобретённых через дистрибьютора, работающего в Юго-Восточной Азии.
Ledger начала расследование 9 октября 2026 года и попросила CryptoBilis прекратить продажу и отправку своих устройств. На следующий день компания признала наличие аппаратного вмешательства как минимум в одном устройстве, а затем в последующем обновлении заявила, что все рассмотренные ею сообщения о неожиданных выводах были связаны с устройствами, проданными через CryptoBilis, охарактеризовав масштаб инцидента как «ограниченный». Компания по-прежнему не уточняет, когда и где устройства были модифицированы.
Как работала имплантация?
Согласно сообщениям исследователей, пострадавшие устройства, отнесённые к модели Ledger X, содержали вредоносную схему, скрытую внутри корпуса. По анализу Mark Karpelès и Tibane Labs, имплантация была предназначена для захвата данных, выводимых на экран, и нажатий кнопок с целью распознать фразу восстановления, а затем отправить её злоумышленнику через LTE-соединение с использованием eSIM.
Исследователи Tibane Labs выявили две версии имплантации. В одном из образцов оригинальную батарею заменили на меньшую, чтобы освободить место для схемы, включавшей микроконтроллер ST STM32G431KBU6, LTE-модуль и eSIM размером примерно 2×2 миллиметра. Вторая версия использовала пространство под OLED-экраном и работала от оригинальной батареи. В обоих образцах антенные провода проходили вдоль верхней части устройства, служа физическим признаком модификации, а на одном из образцов номера некоторых компонентов были стёрты, чтобы скрыть их идентичность.
Почему эта новость важна?
Этот случай выявляет ограничения, связанные с одной лишь уверенностью в целостности внутренних компонентов безопасности. Имплантации не обязательно напрямую взламывать Secure Element: она может отслеживать то, что отображается пользователю, и данные, вводимые им с помощью кнопок, а затем выводить эту информацию через независимый канал связи. Ledger заявляет, что механизм Genuine Check способен проверять подлинность устройства, но не обнаруживает аппаратные добавления, если оригинальный Secure Element остаётся исправным.
На практике Ledger рекомендовала тем, кто приобрёл устройство у CryptoBilis, но ещё не начал его настройку, не включать его. Тем, кто завершил настройку, следует рассмотреть возможность перевода активов на новое устройство для подписания с использованием новой фразы восстановления. Эта рекомендация касается не только подозрительных устройств, но и исходит из того, что фраза восстановления могла быть скомпрометирована.
Что пока не установлено?
Ledger официально не раскрыла модели пострадавших устройств, а также не указала, кто осуществил модификацию или на каком этапе цепочки поставок она была выполнена. Образцы, проанализированные исследователями, указывают на устройства, приобретённые у продавцов, связанных с Китаем, и отправленные из Малайзии, однако само по себе это не доказывает ответственность какого-либо конкретного продавца. Согласно доступной информации, признаков причастности других дистрибьюторов нет.
Ledger рекомендует покупать устройства через авторизованные каналы и просит своих дистрибьюторов не возвращать поступившие товары в продажу. Этот случай показывает, что целостность цепочки поставок остаётся важной частью безопасности аппаратных кошельков, даже когда программные механизмы проверки и оригинальное устройство выглядят исправными.