Производитель аппаратных криптокошельков Ledger расследует сообщения о массовой краже криптовалюты у клиентов, которые приобрели свои устройства через реселлера CryptoBilis, работающего в странах Юго-Восточной Азии. Представители Ledger подтвердили, что уже обнаружили посторонний аппаратный компонент в одном из таких устройств. По данным аналитиков из компании Bitquery, с помощью таких «закладок» злоумышленники могли похитить около 93,2 млн долларов США из 315 кошельков.
Первые сообщения о пропаже средств из кошельков Ledger появились в социальных сетях X и Reddit в конце прошлой недели. Вскоре после этого ончейн-исследователь под ником tanuki42 сообщил, что обнаружил подозрительные адреса, на которые поступило более 72 млн долларов США. Другой аналитик, известный под ником Specter, оценил возможный ущерб более чем в 86 млн долларов США, отследив транзакции в сетях Bitcoin, Ethereum и Tron. При этом изначально Specter писал о сотнях пострадавших кошельков, однако позже уточнил, что точное число жертв пока неизвестно.
В результате 9 октября 2026 года представители Ledger подтвердили, что расследуют сообщения о хищении средств у клиентов CryptoBilis — авторизованного продавца Ledger, который работает в Индонезии, Малайзии и на Филиппинах. При этом подчеркивалось, что инфраструктура и сервисы самой компании не пострадали, а жалоб от покупателей, приобретавших кошельки напрямую у производителя, не поступало.
На время проведения расследования CryptoBilis попросили приостановить продажи и поставки кошельков, а пользователям, купившим устройства у этой компании в последние 90 дней, рекомендовали пока не начинать их настройку. Тем, кто уже активировал свой кошелек, советовали рассмотреть перенос активов на новое устройство с новой seed-фразой.
Вскоре после этого специалисты из компании Bitquery заявили, что от атак могли пострадать 315 кошельков в шести блокчейнах: Bitcoin, Ethereum, Tron, Solana, BNB Chain и Polygon. Общая сумма предполагаемых потерь может составить 93,2 млн долларов США.
Как сообщают исследователи, анализ транзакций показал, что злоумышленники готовились к атаке заранее. С 26 сентября по 7 октября 2026 года они провели 41 тестовую операцию в сетях Tron и Ethereum. После этого, 9 октября, исследователи зафиксировали подозрительную активность в сети Tron: всего за три секунды с 25 кошельков были подписаны одинаковые разрешения на проведение транзакций. Специалисты считают, что все эти кошельки контролировал один атакующий или одна группа лиц.
При этом часть украденной криптовалюты уже попытались отмыть. По данным Bitquery, в период с 9 по 10 октября через миксер Tornado Cash прошли 2990 ETH, после чего средства переводили через Zcash.
Известно, что Tether заморозила 10 млн USDT на 20 адресах, связанных с атаками, а еще 5,35 млн USDC удалось отследить до пяти кошельков, и теперь эти активы потенциально может заблокировать Circle.
Тем временем представители Ledger официально подтвердили, что кошелек одного из пострадавших пользователей действительно содержал несанкционированный аппаратный имплант.
Примечательно, что еще в сентябре 2026 года исследователи из Tibane Labs обнаружили два модифицированных кошелька Ledger Nano X с похожими аппаратными «закладками». Подробности этого исследования были опубликованы в конце прошлой недели, когда скандал с массовой кражей криптовалюты уже набирал обороты.
Обнаруженные специалистами Tibane Labs «закладки» были способны перехватывать seed-фразу, состоящую из 24 слов, непосредственно при ее выводе на экран и передавать ее злоумышленникам через сотовый модуль устройства. При этом защищенный чип кошелька оставался нетронутым, и обычная проверка подлинности могла не выявить вмешательство.
Один из изученных экспертами кошельков приобрели на японском аукционе Yahoo! Auctions, а второй — на Amazon Japan у продавца из Китая. При этом второе устройство доставили из Малайзии, и исследователи отмечают, что там работает уже упомянутый выше реселлер CryptoBilis.
Исследователи допускают, что изготовление или установка аппаратных закладок могут быть связаны с этим регионом, однако подчеркивают, что ни один из изученных ими кошельков не был куплен у CryptoBilis напрямую. Также пока неясно, совпадают ли обнаруженные Tibane Labs импланты с «закладкой», найденной специалистами самой компании Ledger.
Расследование случившегося еще продолжается. Пока в Ledger еще не подтвердили окончательную сумму ущерба и точное количество пострадавших.
