Ledger остановила продажи через CryptoBilis после потери пользователями $86 млн

В пятницу Ledger объявила о расследовании инцидента с потерей средств у покупателей устройств в Юго-Восточной Азии. Примерно через час после того, как в соцсетях появились оценки масштаба потерь, компания приостановила сотрудничество с реселлером CryptoBilis. CryptoBilis — малайзийская компания, которая с 2020 года торгует криптовалютными товарами и имеет представительства в Индонезии и на Филиппинах.

Как оценили потери

Ончейн-аналитик под псевдонимом Specter отследил адреса, на которые уходили средства с кошельков пострадавших. По его данным, украдены активы из сотен кошельков на Ethereum, TRON и биткоине. Суммарные потери он оценил в $86 млн. Аналитическая платформа MistTrack подняла оценку до $90 млн. Позднее сервис Bitquery зафиксировал потери в $92,9 млн — данные охватывают 311 кошелек в пяти блокчейнах.

Публичные данные mempool показывают: три биткоин-адреса, связанные с инцидентом, хранят около 211 BTC. На момент 13:44 UTC в пятницу эти средства не перемещались. Сама Ledger ни масштаб потерь, ни количество пострадавших не раскрыла и не объяснила, как именно украли средства.

Версия о компрометации устройств

По информации bitcoin.fr, CryptoBilis перепродали в марте 2026 года новому владельцу из Китая. Старые соучредители потеряли доступ к операционному управлению компанией после сделки. Марк Карпелес опубликовал фотографии предполагаемых устройств с аппаратным имплантом, который может перехватывать seed-фразу. Эти утверждения пока не подтверждены.

Смена владельца, потеря контроля прежним руководством и последующие потери средств у покупателей — всё указывает на канал перепродажи. Однако ни одно публичное расследование пока не установило, что новый владелец модифицировал устройства.

Рекомендации пострадавшим

Ledger дала разные рекомендации в зависимости от состояния купленного устройства. Тем, кто приобрел кошелек у CryptoBilis за последние 90 дней, но ещё не настроил его, компания советует не начинать инициализацию. Устройство без настройки не содержит seed-фразу, поэтому его активация не несёт риска компрометации.

Покупателям, которые уже настроили кошелек, Ledger рекомендует перевести активы на новое устройство с новой seed-фразой. Просто заменить физическое устройство недостаточно: аппаратный кошелек не хранит криптовалюту как USB-накопитель хранит файлы. Активы остаются в блокчейне, а устройство хранит приватные ключи. Старая seed-фраза восстанавливает те же ключи на новом устройстве, поэтому для безопасной миграции нужно сгенерировать новые ключи и перевести средства на новые адреса.

Реакция рынка

Tether заморозила токены USDT, связанные с инцидентом. Объём замороженных средств составил около $10 млн. Компания не сообщила, сколько пользователей пострадало и продолжает ли расследование вместе с правоохранительными органами. Украденные средства проходят через Tornado Cash — миксер, который затрудняет отслеживание транзакций в Ethereum.

Ledger заявила, что инцидент касается только одного конкретного реселлера в Юго-Восточной Азии. Жалоб на устройства, купленные напрямую у Ledger, не поступало. Инфраструктура, системы и сервисы самой компании не были скомпрометированы.

Второй крупный инцидент за три месяца

Это уже второй масштабный случай потери средств с аппаратных кошельков за последние месяцы. В июле пользователи Coldcard — конкурента Ledger — потеряли около $70 млн из-за бага в прошивке, который приводил к некорректной генерации seed-фраз. Galaxy Research сообщала, что несколько групп злоумышленников независимо друг от друга эксплуатировали эту уязвимость.

Продажа взломанных устройств вне официальных каналов — известный риск. В апреле исследователь обнаружил поддельные Ledger на китайской торговой площадке. Такие устройства отправляли PIN-коды и seed-фразы злоумышленникам. В сентябре Trezor сообщила об утечке данных почти 81 тысячи клиентов после компрометации партнёра по доставке.

Ledger пообещала информировать клиентов о ходе расследования. Пока неясно, модифицировали ли устройства от CryptoBilis до того, как они попали к покупателям, и когда компания представит окончательные выводы.