Furtul de criptomonede prin eSIM pe Ledger: ce s-a întâmplat

Ce s-a întâmplat în cazul furtului de criptomonede Ledger prin eSIM?

Cercetători în securitate au documentat dispozitive Ledger Nano X modificate, în interiorul cărora fusese adăugat hardware suplimentar. Implantul este ascuns într-un portofel care, în rest, este autentic. El interceptează datele trimise de elementul securizat către ecranul OLED atunci când dispozitivul afișează, la configurare, fraza de recuperare formată din 24 de cuvinte.

Placa ascunsă poate reconstitui cuvintele din datele ecranului, le poate stoca și apoi le poate transmite atacatorului prin rețeaua mobilă. Versiunile mai noi ar include un modem, o antenă și un SIM integrat. Așadar, eSIM-ul este canalul de comunicație al implantului, nu o funcție legitimă a dispozitivelor Ledger.

Ledger a anunțat la 9 octombrie 2026 că investighează sesizări privind fonduri furate, asociate unor dispozitive vândute de CryptoBilis, un distribuitor autorizat care deservește anumite zone din Asia de Sud-Est. Compania i-a cerut distribuitorului să oprească vânzările și livrările. La acel moment, Ledger a precizat că nu primise sesizări similare pentru dispozitive cumpărate direct de la companie.

Cum poate fi compromis un portofel hardware autentic?

În mod normal, un portofel hardware păstrează cheile private într-un element securizat, proiectat să reziste atacurilor. Cipul poate genera chei și poate semna tranzacții fără să dezvăluie secretul. Totuși, în timpul configurării, dispozitivul trebuie să afișeze o singură dată cuvintele de recuperare. Pentru aceasta, trimite informația vizuală către ecran.

Implantul descris de cercetători atacă tocmai acest traseu, fără să spargă elementul securizat. Cercetătorii de la Tibane Labs au prezentat mai multe generații ale dispozitivului fraudulos. Primele exemplare aveau fire ușor de observat și o baterie originală înlocuită cu una mai mică. Variantele recente folosesc circuite flexibile personalizate, finisaje în culori apropiate de componentele originale, marcaje răzuite și piese celulare ascunse sub ecran.

Atacul este periculos deoarece mai multe verificări obișnuite pot oferi o falsă senzație de siguranță:

• Elementul securizat poate fi autentic, iar verificarea software poate fi trecută cu succes.
• Portofelul se poate inițializa, încărca, conecta și poate semna tranzacții aparent normal.
• Ambalajul și carcasa exterioară pot să nu prezinte urme evidente de intervenție.
• Implantul are propria conexiune mobilă, deci nu depinde de telefonul sau rețeaua Wi-Fi a victimei.

Ce face eSIM-ul și ce nu face

Expresia „furt de criptomonede prin eSIM” poate induce în eroare. În acest incident, SIM-ul integrat pare să fie o componentă a unui dispozitiv de supraveghere instalat fără autorizare. Rolul său este să ofere implantului o cale discretă pentru transmiterea datelor capturate prin rețele LTE, LTE-M sau NB-IoT.

Nu este vorba despre un atac de tip SIM swap. Într-un astfel de atac, infractorul preia numărul de telefon al victimei pentru a intercepta apeluri sau coduri primite prin SMS. În cazul Ledger, eSIM-ul ascuns nu înlocuiește linia telefonică a proprietarului. El aparține implantului și funcționează independent.

Incidentul diferă și de riscurile unei aplicații, ale unui profil sau ale unui serviciu proxy eSIM nesigur. Pentru acest scenariu separat, poți consulta ghidul nostru despre riscurile serviciilor proxy eSIM gratuite și furtul codurilor.

Cine trebuie să acționeze imediat?

Cel mai clar avertisment oficial i-a vizat pe clienții recenți ai CryptoBilis. Persoanele care cumpăraseră un dispozitiv Ledger de la acel distribuitor în intervalul de 90 de zile menționat au fost sfătuite să nu îl configureze. Clienților care îl inițializaseră deja li s-a recomandat să își mute activele pe un dispozitiv nou, folosind o frază de recuperare nou generată.

Este nevoie de prudență și dacă portofelul provine de la un vânzător de pe o platformă online, de la un importator necunoscut, de la un distribuitor cu proprietari neclari sau de pe piața second-hand. Cercetătorii au obținut exemplare recente cu implant prin canale terțe din Japonia, inclusiv printr-un anunț de pe o platformă online importantă. Totuși, ei nu au stabilit că acele dispozitive proveneau de la CryptoBilis.

Ce să faci dacă dispozitivul Ledger ar putea fi afectat

Dacă sursa achiziției corespunde avertismentului sau există un motiv concret să suspectezi o intervenție fizică, consideră că orice frază de recuperare afișată de dispozitiv ar putea fi compromisă. Resetarea aceluiași portofel și reutilizarea acelorași cuvinte nu rezolvă problema.

1. Nu mai utiliza dispozitivul suspect. Nu îl inițializa, nu restaura o frază pe el și nu mai aproba tranzacții.
2. Procură un dispozitiv de încredere. Cumpără direct de la producător sau urmează instrucțiunile oficiale Ledger pentru înlocuire.
3. Generează o frază de recuperare complet nouă pe hardware de încredere. Nu importa fraza veche.
4. Transferă activele cu atenție. Începe cu o tranzacție de test de valoare mică, verifică destinația pe dispozitivul sigur, apoi mută restul fondurilor.
5. Păstrează dovezile. Nu arunca portofelul, cutia, factura, datele vânzătorului, seria dispozitivului sau documentele de livrare.
6. Contactează serviciul de asistență Ledger prin site-ul oficial de suport. Nu accesa linkuri de asistență primite în mesaje nesolicitate.
7. Raportează furtul. Contactează rapid platforma de schimb relevantă, autoritatea locală pentru criminalitate informatică și un investigator blockchain calificat.

Poți detecta implantul ascuns acasă?

Nu în mod sigur. Versiunile mai vechi schimbau bateria și foloseau fire lipite manual, ușor de observat. Cel mai recent exemplar documentat ar fi păstrat bateria originală și ar fi ascuns sub ecran un circuit flexibil acoperit cu negru. După deschiderea carcasei, un fir subțire folosit drept antenă era printre puținele indicii vizibile.

Deschiderea portofelului îl poate deteriora, poate distruge dovezi, poate crea riscuri legate de baterie și poate complica solicitările de suport sau garanție. O carcasă aparent intactă, un ambalaj corect și trecerea verificării de autenticitate nu pot exclude existența unor componente adăugate dacă elementul securizat a rămas original.

Acest incident face eSIM-urile de călătorie nesigure?

Nu. Un eSIM de călătorie pentru consumatori este un abonament mobil digital instalat pe un telefon compatibil. Componenta malițioasă din acest caz este un SIM integrat, lipit într-un dispozitiv hardware neautorizat. Cele două tehnologii folosesc standarde de conectivitate înrudite, dar au scopuri și modele de risc diferite.

Pentru internet mobil în străinătate, alege un furnizor cunoscut, instalează profilul urmând instrucțiunile oficiale, protejează contul prin autentificare puternică și evită orice serviciu care îți cere cuvintele de recuperare ale portofelului. Un furnizor de conectivitate pentru călătorii nu are nevoie niciodată de fraza seed a portofelului tău cripto.

Selecția noastră actuală de furnizori eSIM consacrați te ajută să compari opțiuni legitime pentru călătorii. Ea nu înlocuiește verificările de securitate necesare unui portofel hardware.

Ce schimbă atacul în securitatea portofelelor hardware

Lecția principală este că „cip autentic” nu înseamnă întotdeauna „dispozitiv nemodificat”. Elementele securizate rămân valoroase, însă fac parte dintr-un sistem fizic mai amplu, care include ecranul, alimentarea, butoanele, magistralele de comunicație și întregul lanț de aprovizionare.

Cumpără direct de la producător ori de câte ori este posibil. Generează fraza seed numai pe hardware în care ai încredere. Păstrează fraza de recuperare offline și verifică detaliile tranzacției pe ecranul dispozitivului. Pentru dețineri importante, poți împărți riscul între portofele cumpărate independent sau poți folosi o configurație multisemnătură atent concepută.

Este la fel de important să delimităm ceea ce nu se știe încă. Cercetătorii au demonstrat implanturi celulare funcționale și au documentat modele din ce în ce mai profesioniste. Ledger a confirmat că investighează sesizări de furt asociate unui distribuitor. Dovezile publice nu au stabilit însă întregul circuit de distribuție, numărul total de portofele afectate sau valoarea finală confirmată a pierderilor.

Întrebări frecvente

Ledger a adăugat un eSIM în Nano X?

Nu. eSIM-ul raportat face parte dintr-un implant neautorizat, adăugat în dispozitive Nano X autentice. Nu este o funcție standard a portofelului.

Poate implantul să treacă verificarea de autenticitate Ledger?

Potrivit cercetătorilor, da, deoarece elementul securizat rămâne autentic. Implantul monitorizează conexiunea ecranului și nu înlocuiește cipul securizat.

Poate implantul să fure fraza de recuperare fără conexiunea victimei la internet?

Implantul ar include propriul modem celular, propria antenă și un SIM integrat. Astfel, poate transmite cuvintele capturate fără să folosească telefonul, rețeaua Wi-Fi sau conexiunea computerului proprietarului.

Ar trebui ca toți proprietarii de Ledger să își mute imediat criptomonedele?

Nu există un avertisment general pentru toate dispozitivele. Măsurile imediate sunt relevante în special pentru clienții incluși în avertismentul Ledger privind distribuitorul și pentru cei care au motive credibile să suspecteze o sursă de achiziție nesigură sau o intervenție fizică.

Este suficient să resetezi portofelul suspect?

Nu. Dacă fraza veche ar fi putut fi capturată, resetarea aceluiași dispozitiv nu o face din nou secretă. Generează o frază nouă pe hardware de încredere și transferă activele către adrese derivate din aceasta.