Кражба на крипто от Ledger чрез eSIM: какво се случи
Накратко, в тази статия ще разберете как оригинален Ledger Nano X може да бъде модифициран със скрит клетъчен имплант, който прихваща фразата за възстановяване от връзката с дисплея и я изпраща чрез вградена eSIM. Случаят е сериозен, но става дума за атака по веригата за доставки — не за доказателство, че всеки Ledger или обикновена туристическа eSIM е компрометиран.
Какво се случи при кражбата на крипто от Ledger чрез eSIM?
Изследователи по киберсигурност са документирали модифицирани устройства Ledger Nano X с допълнителен хардуер. Имплантът е поставен в иначе оригинален портфейл. Той следи данните, които защитеният чип изпраща към OLED екрана, докато при първоначалната настройка се показва 24-думовата фраза за възстановяване.
Скритата платка може да възстанови думите от данните за изображението, да ги запази и да ги изпрати на нападателя през мобилна мрежа. Според публикуваната информация по-новите версии съдържат модем, антена и вградена SIM. Следователно eSIM е комуникационният канал на импланта, а не легитимна функция на Ledger.
На 9 октомври 2026 г. Ledger съобщи, че разследва сигнали за откраднати средства, свързани с устройства, продавани от CryptoBilis — оторизиран търговец, обслужващ части от Югоизточна Азия. Компанията поиска продажбите и доставките от този търговец да бъдат спрени. Към онзи момент Ledger заяви и че не е получила подобни сигнали за устройства, купени директно от нея.
⚠️ Публикуваните оценки за загубите се различават значително. Част от публикациите посочват кражба за около 15 млн. долара, докато независими анализатори на блокчейн транзакции по-късно свързаха потенциално засегнати адреси с много по-големи суми. Към момента на предупреждението Ledger не беше потвърдила нито размера на загубите, нито че причината е именно имплантът.
Как оригинален хардуерен портфейл може да бъде компрометиран?
Обикновено хардуерният портфейл пази частните ключове в специално защитен чип. Той може да генерира ключове и да подписва транзакции, без да разкрива тайната. При настройката обаче портфейлът трябва веднъж да покаже думите за възстановяване. За целта изпраща визуални данни към екрана.
Описаният имплант атакува точно този път, вместо да пробива защитения чип. Изследователите от Tibane Labs описват няколко поколения на устройството. Ранните образци са използвали ясно видими кабели и по-малка резервна батерия. При по-новите версии има персонализирани гъвкави платки, покрития в подходящ цвят, заличени означения върху компонентите и клетъчни части, скрити под дисплея.
Атаката е опасна, защото няколко обичайни проверки могат да дадат привидно успокояващ резултат:
- Защитеният чип може да е оригинален, така че софтуерната проверка за автентичност да премине успешно.
- Портфейлът може да се настройва, зарежда, свързва и подписва транзакции нормално.
- По опаковката и външния корпус може да няма видими следи от намеса.
- Имплантът има собствена мобилна връзка и не се нуждае от телефона или Wi-Fi мрежата на жертвата.
💡 Представете си миниатюрен шпионин, закачен към кабела на дисплея. Не е нужно да разбива сейфа, ако може да наблюдава тайната, когато тя се появи на екрана.
Какво прави eSIM — и какво не прави?
Изразът „кражба на крипто чрез eSIM“ може да създаде погрешно впечатление. В този случай вградената SIM изглежда е част от неразрешен шпионски хардуер. Тя осигурява дискретен канал, по който имплантът изпраща прихванатите данни през LTE, LTE-M или NB-IoT мрежи.
Това не е SIM swap атака. При такава измама престъпникът поема контрол над мобилния номер на жертвата, за да прихваща обаждания или кодове от SMS. Тук скритата eSIM не замества телефонната линия на собственика. Тя принадлежи на импланта и работи независимо.
Случаят се различава и от рисковете при опасно приложение за туристическа eSIM, профил или прокси услуга. За този отделен вид заплаха вижте нашия материал за рисковете от безплатни eSIM прокси услуги и кражбата на кодове.
| Заплаха | Какво е атакувано? | Роля на мобилната мрежа | Основна защита |
|---|---|---|---|
| Хардуерен имплант | Думите за възстановяване, показани в манипулиран портфейл | Скрит модем изпраща прихванатите данни | Надежден източник на покупка и нова фраза върху доверено устройство |
| SIM swap | Телефонният номер и потвържденията чрез SMS | Нападателят прехвърля номера | Удостоверяване чрез приложение или хардуерен ключ |
| Злонамерено eSIM приложение или прокси | Данни за вход, трафик или кодове за активиране | Ненадеждна услуга обработва връзката | Утвърден доставчик и официално приложение |
| Фишинг | Фразата за възстановяване или данните за вход | Фалшив сайт или съобщение събира тайните | Никога не въвеждайте думите за възстановяване онлайн |
Кой трябва да реагира незабавно?
Най-конкретното официално предупреждение беше насочено към скорошни клиенти на CryptoBilis. Хората, купили Ledger от този търговец в посочения 90-дневен период, бяха призовани да не настройват устройството. На вече активиралите такъв портфейл беше препоръчано да преместят активите си към ново устройство с новогенерирана фраза за възстановяване.
Повишено внимание е необходимо и когато портфейлът е купен от продавач в онлайн платформа, неизвестен вносител, търговец с неясна собственост или като употребяван продукт. Изследователите са получили по-нови образци с импланти по канали на трети страни в Япония, включително чрез обява в популярна онлайн платформа. Те обаче не са установили, че тези устройства произхождат от CryptoBilis.
✅ Портфейл, купен директно от Ledger, не е автоматично засегнат от този случай. В изявлението си от 9 октомври компанията посочи, че няма сигнали за директни покупки. Това не отменя обичайните мерки за сигурност, но променя оценката на непосредствения риск.
Какво да направите при съмнение за засегнат Ledger?
Ако начинът на покупка съвпада с предупреждението или имате конкретна причина да подозирате намеса, приемете, че всяка фраза за възстановяване, показана от устройството, може да е изтекла. Не се опитвайте да решите проблема чрез нулиране на същия портфейл и повторно използване на същите думи.
- Спрете да използвате подозрителното устройство. Не го настройвайте, не възстановявайте фраза върху него и не одобрявайте нови транзакции.
- Осигурете си надежден заместител. Купете директно от производителя или следвайте официалните инструкции на Ledger за подмяна.
- Създайте изцяло нова фраза за възстановяване върху доверен хардуер. Не импортирайте старата фраза.
- Прехвърлете активите внимателно. Започнете с малка тестова транзакция, проверете адреса върху довереното устройство и едва след това преместете останалите средства.
- Запазете доказателствата. Съхранете портфейла, кутията, касовата бележка, данните за продавача, серийната информация и документите за доставката.
- Свържете се с поддръжката на Ledger през официалния сайт за поддръжка. Не отваряйте линкове за помощ, изпратени в непоискани съобщения.
- Подайте сигнал при кражба. Свържете се възможно най-бързо със съответната борса, местната служба за киберпрестъпления и квалифициран блокчейн разследващ.
⚠️ Никога не въвеждайте своите 24 думи в Ledger Live, уебсайт, чат с поддръжка, формуляр или инструмент за „проверка“. Истинската поддръжка не би трябвало да ги иска.
Може ли скритият имплант да бъде открит у дома?
Не и по надежден начин. По-ранните версии са били с променена батерия и видими ръчно запоени кабели. Според описанието най-новият документиран образец е запазил оригиналната батерия и е скрил покрита в черно гъвкава платка под екрана. След отварянето на корпуса тънък кабел за антена е бил една от малкото видими следи.
Отварянето на портфейла може да го повреди, да унищожи доказателства, да създаде риск от батерията и да усложни гаранционна претенция или комуникацията с поддръжката. Нормалният външен вид, правилната опаковка и успешната проверка за оригинално устройство не могат да изключат добавен хардуер, ако самият защитен чип остава автентичен.
💡 Ако устройството ви попада в предупреждение за конкретен търговец, следвайте указанията на производителя, вместо да го разглобявате у дома. Лабораториите по сигурност могат да изследват хардуера чрез микроскопия, електрически анализ и контролирано разглобяване.
Прави ли случаят туристическите eSIM опасни?
Не. Потребителската туристическа eSIM е цифров мобилен план, който се инсталира на съвместим телефон. Описаният в този случай злонамерен компонент е вградена SIM, запоена в неразрешен хардуер. Двете технологии използват общ стандарт за свързаност, но имат различно предназначение и различни рискове.
Когато избирате мобилен интернет за пътуване, използвайте познат доставчик, инсталирайте профила само по официалните инструкции, защитете акаунта си със силно удостоверяване и избягвайте услуги, които искат фразата за възстановяване на крипто портфейл. Доставчик на туристическа свързаност никога не се нуждае от вашата seed фраза.
Нашата актуална селекция от утвърдени eSIM доставчици ви позволява да сравните легитимни варианти за интернет при пътуване. Тя не замества проверките за сигурност на хардуерния портфейл.
Какво променя атаката за сигурността на хардуерните портфейли?
Основният извод е, че „оригинален чип“ невинаги означава „устройство без намеса“. Защитените чипове остават важни, но са част от по-голяма физическа система с дисплей, захранващи линии, бутони, комуникационни шини и зависимости от веригата за доставки.
Когато е възможно, купувайте директно от производителя. Генерирайте фразата само на хардуер, на който имате доверие. Пазете я офлайн и проверявайте данните за транзакцията върху екрана на устройството. При значителни активи може да разпределите риска между независимо закупени портфейли или внимателно изградена схема с множество подписи.
Важно е и да разграничаваме доказаното от неизвестното. Изследователите са показали работещи клетъчни импланти и все по-професионално изработени версии. Ledger потвърди сигнали за кражби, свързани с търговец. Публичните доказателства обаче все още не установяват цялата верига на разпространение, общия брой засегнати портфейли или окончателно потвърдена сума на загубите.
Често задавани въпроси
Ledger ли е добавила eSIM към Nano X?
Не. Според информацията eSIM е част от неразрешен имплант, добавен към оригинални устройства Nano X. Тя не е стандартна функция на портфейла.
Може ли имплантът да премине проверката на Ledger за оригинално устройство?
Според изследователите — да, защото защитеният чип остава оригинален. Имплантът следи връзката с дисплея, вместо да заменя защитения чип.
Може ли имплантът да открадне фразата без интернет връзката на собственика?
Според публикуваните данни той разполага със собствен клетъчен модем, антена и вградена SIM. Затова може да изпрати прихванатите думи, без да използва телефона, Wi-Fi мрежата или компютърната връзка на собственика.
Трябва ли всеки собственик на Ledger незабавно да премести криптоактивите си?
Не е издадено общо предупреждение за всички устройства. Незабавни действия са най-важни за клиентите, обхванати от предупреждението на Ledger за конкретния търговец, както и за всеки с основателна причина да подозира рисков източник на покупка или физическа намеса.
Достатъчно ли е подозрителният портфейл да бъде нулиран?
Не. Ако старата фраза може да е била прихваната, нулирането на същото устройство няма да я направи отново тайна. Генерирайте нова фраза на доверен хардуер и прехвърлете активите към адреси, създадени от нея.
Следвайки страстта си към пътуванията и технологиите, обединих тези два свята, за да помогна на пътешествениците да се ориентират в джунглата от интернет опции в чужбина. Като софтуерен инженер използвам уменията си, за да създавам просто, практично и прозрачно съдържание. Моята цел? Да ви дам всички инструменти, за да останете свързани лесно и на най-добра цена по време на вашите пътувания. 🌍📲