Kradzież z Ledger przez eSIM: jak działał atak

Co wydarzyło się w sprawie kradzieży z Ledger przez eSIM?

Badacze bezpieczeństwa opisali zmodyfikowane urządzenia Ledger Nano X z dodatkową elektroniką wewnątrz obudowy. Implant znajdował się w prawdziwym portfelu i podsłuchiwał dane przesyłane z bezpiecznego układu do ekranu OLED. Robił to w chwili, gdy podczas konfiguracji urządzenie wyświetlało 24-wyrazową frazę odzyskiwania.

Ukryta płytka mogła odtworzyć słowa na podstawie danych ekranu, zapisać je, a następnie przesłać atakującemu przez sieć komórkową. Według badaczy nowsze wersje zawierały modem, antenę i wbudowaną kartę SIM. W tym scenariuszu eSIM była więc kanałem komunikacyjnym implantu, a nie legalną funkcją urządzenia Ledger.

9 października 2026 r. Ledger poinformował, że bada zgłoszenia dotyczące kradzieży środków powiązane z urządzeniami sprzedawanymi przez CryptoBilis, autoryzowanego dystrybutora obsługującego część Azji Południowo-Wschodniej. Firma poprosiła sprzedawcę o wstrzymanie sprzedaży i wysyłek. Jednocześnie podała, że na tamten moment nie otrzymała podobnych zgłoszeń dotyczących urządzeń kupionych bezpośrednio od Ledger.

Jak autentyczny portfel sprzętowy mógł zostać zmodyfikowany?

Portfel sprzętowy przechowuje klucze prywatne w zabezpieczonym układzie. Chip może generować klucze i podpisywać transakcje bez ujawniania sekretu. Podczas pierwszej konfiguracji urządzenie musi jednak raz wyświetlić słowa odzyskiwania, dlatego przesyła dane obrazu do ekranu.

Opisany implant nie łamie zabezpieczeń samego układu. Atakuje połączenie prowadzące do wyświetlacza. Badacze z Tibane Labs opisali kilka generacji takiego rozwiązania. Wczesne egzemplarze miały widoczne przewody i mniejszy zamiennik baterii. Nowsze wykorzystują niestandardowe elastyczne płytki, powłoki dopasowane kolorem, zeszlifowane oznaczenia elementów oraz podzespoły komórkowe ukryte pod ekranem.

Ten atak jest szczególnie groźny, ponieważ wiele standardowych kontroli może dać uspokajający wynik:

• Bezpieczny układ może być autentyczny, więc programowe sprawdzenie oryginalności może zakończyć się powodzeniem.
• Portfel może normalnie się uruchamiać, ładować, łączyć z aplikacją i podpisywać transakcje.
• Opakowanie oraz zewnętrzna obudowa mogą nie nosić widocznych śladów ingerencji.
• Implant ma własne połączenie komórkowe, dlatego nie potrzebuje telefonu ani Wi-Fi ofiary.

Jaką rolę pełniła eSIM, a jakiej nie?

Hasło „kradzież kryptowalut przez eSIM” może sugerować niewłaściwy mechanizm. W tym incydencie wbudowana karta SIM była prawdopodobnie elementem nieautoryzowanego sprzętu szpiegowskiego. Zapewniała implantowi dyskretną drogę przesyłania przechwyconych danych przez sieci LTE, LTE-M lub NB-IoT.

Nie był to SIM swapping. Przy takim ataku przestępca przejmuje numer telefonu ofiary, aby odbierać połączenia lub kody SMS. Tutaj ukryta eSIM nie zastępowała numeru właściciela portfela. Należała do implantu i działała niezależnie.

To także inny model zagrożenia niż niebezpieczna aplikacja podróżnej eSIM, profil lub usługa proxy. Ten odrębny problem wyjaśniamy w poradniku o darmowych eSIM, ukrytych proxy i kradzieży kodów.

Kto powinien zareagować natychmiast?

Najbardziej konkretne oficjalne ostrzeżenie dotyczyło niedawnych klientów CryptoBilis. Osobom, które kupiły urządzenie Ledger od tego sprzedawcy w określonym okresie 90 dni, zalecono, aby go nie konfigurowały. Użytkownicy, którzy zdążyli już uruchomić taki portfel, mieli przenieść aktywa na nowe urządzenie z nowo wygenerowaną frazą odzyskiwania.

W Polsce dodatkową ostrożność warto zachować, jeżeli portfel pochodzi od sprzedawcy na platformie handlowej, nieznanego importera, dystrybutora o niejasnej strukturze własności albo z drugiej ręki. Badacze zdobyli nowsze egzemplarze z implantem przez zewnętrzne kanały w Japonii, w tym z oferty na popularnej platformie zakupowej. Nie ustalili jednak, że urządzenia te pochodziły od CryptoBilis.

Co zrobić, gdy Ledger może być zmodyfikowany?

Jeżeli źródło zakupu odpowiada ostrzeżeniu albo istnieje konkretny powód, by podejrzewać ingerencję, uznaj każdą frazę wyświetloną przez to urządzenie za potencjalnie ujawnioną. Reset tego samego portfela i ponowne użycie tych samych słów nie rozwiąże problemu.

1. Przestań używać podejrzanego urządzenia. Nie konfiguruj go, nie przywracaj na nim frazy i nie zatwierdzaj kolejnych transakcji.
2. Zdobądź zaufane urządzenie zastępcze. Kup je bezpośrednio od producenta albo postępuj zgodnie z oficjalną procedurą Ledger.
3. Utwórz całkowicie nową frazę odzyskiwania na zaufanym sprzęcie. Nie importuj starej frazy.
4. Przenieś aktywa ostrożnie. Zacznij od małej transakcji testowej, sprawdź adres docelowy na zaufanym urządzeniu, a dopiero potem wyślij resztę.
5. Zabezpiecz dowody. Zachowaj portfel, pudełko, dowód zakupu, dane sprzedawcy, numer seryjny oraz dokumentację wysyłki.
6. Skontaktuj się z pomocą Ledger przez oficjalną stronę wsparcia. Nie korzystaj z linków pomocy przesłanych w nieoczekiwanych wiadomościach.
7. Zgłoś kradzież. Jak najszybciej powiadom właściwą giełdę, lokalne służby zajmujące się cyberprzestępczością oraz doświadczonego analityka blockchain.

Czy implant da się wykryć w domu?

Nie w sposób wiarygodny. Wcześniejsze wersje miały zmienioną baterię i widoczne, ręcznie lutowane przewody. Najnowszy udokumentowany egzemplarz miał podobno oryginalną baterię oraz czarną, elastyczną płytkę ukrytą pod ekranem. Po otwarciu obudowy jednym z nielicznych widocznych sygnałów był cienki przewód antenowy.

Samodzielne rozbieranie portfela może go uszkodzić, zniszczyć dowody, stworzyć zagrożenie związane z baterią i utrudnić reklamację lub obsługę gwarancyjną. Nienaruszona obudowa, poprawne opakowanie oraz pozytywny test autentyczności nie wykluczają dodatkowej elektroniki, jeśli bezpieczny układ pozostał oryginalny.

Czy ten incydent oznacza, że podróżne eSIM są niebezpieczne?

Nie. Konsumencka eSIM podróżna to cyfrowy plan komórkowy instalowany w kompatybilnym telefonie. Złośliwy element z tego przypadku był wbudowaną kartą SIM przylutowaną do nieautoryzowanego sprzętu. Obie technologie korzystają ze standardów łączności komórkowej, ale służą do innych celów i mają odmienne modele ryzyka.

Wybierając internet na wyjazd, korzystaj ze znanego dostawcy, instaluj profil zgodnie z oficjalną instrukcją, zabezpiecz konto silnym uwierzytelnianiem i unikaj usług proszących o frazę odzyskiwania portfela. Firma oferująca łączność turystyczną nigdy nie potrzebuje seed phrase do kryptowalut.

Nasze zestawienie sprawdzonych dostawców eSIM ułatwia porównanie legalnych usług łączności w podróży. Nie zastępuje ono kontroli bezpieczeństwa portfela sprzętowego.

Co ten atak zmienia w bezpieczeństwie portfeli sprzętowych?

Najważniejszy wniosek brzmi: „autentyczny chip” nie zawsze oznacza „nienaruszone urządzenie”. Bezpieczne układy nadal mają ogromną wartość, lecz działają w większym systemie fizycznym obejmującym ekran, zasilanie, przyciski, magistrale komunikacyjne i cały łańcuch dostaw.

Jeśli to możliwe, kupuj sprzęt bezpośrednio od producenta. Generuj frazę wyłącznie na urządzeniu, któremu ufasz, i przechowuj ją offline. Szczegóły transakcji zawsze sprawdzaj na ekranie portfela. Przy znacznych aktywach warto rozważyć podział ryzyka między niezależnie kupione urządzenia albo starannie skonfigurowany portfel multisignature.

Trzeba też precyzyjnie oddzielić fakty od niewiadomych. Badacze pokazali działające implanty komórkowe i opisali coraz bardziej profesjonalne konstrukcje. Ledger potwierdził zgłoszenia kradzieży powiązane ze sprzedawcą. Publiczne dowody nadal nie wyjaśniają jednak całego łańcucha dystrybucji, liczby zmodyfikowanych portfeli ani ostatecznej, potwierdzonej kwoty strat.

FAQ

Czy Ledger dodał eSIM do Nano X?

Nie. Opisywana eSIM była częścią nieautoryzowanego implantu dodanego do prawdziwych urządzeń Nano X. Nie jest standardową funkcją tego portfela.

Czy implant może przejść test autentyczności Ledger?

Według badaczy tak, ponieważ bezpieczny układ pozostaje oryginalny. Implant obserwuje połączenie wyświetlacza, zamiast zastępować zabezpieczony chip.

Czy implant może wykraść frazę bez internetu właściciela?

Według opisu ma własny modem komórkowy, antenę i wbudowaną kartę SIM. Może więc przesłać przechwycone słowa bez używania telefonu, Wi-Fi ani połączenia komputerowego właściciela.

Czy każdy właściciel Ledger powinien natychmiast przenieść kryptowaluty?

Nie wydano ogólnego ostrzeżenia obejmującego wszystkie urządzenia. Natychmiastowe działanie jest najważniejsze dla klientów objętych komunikatem Ledger dotyczącym sprzedawcy oraz osób, które mają wiarygodny powód, by podejrzewać niebezpieczne źródło zakupu lub fizyczną ingerencję.

Czy reset podejrzanego portfela wystarczy?

Nie. Jeżeli stara fraza mogła zostać przechwycona, reset urządzenia nie sprawi, że słowa znów staną się tajne. Wygeneruj nową frazę na zaufanym sprzęcie i przenieś aktywa na utworzone z niej adresy.