Кража криптовалюты через eSIM в Ledger: что произошло
Вкратце: вот что вы узнаете из этой статьи: исследователи обнаружили, что настоящий Ledger Nano X можно модифицировать скрытым сотовым имплантом. Он считывает seed-фразу с линии дисплея и передаёт её через встроенную eSIM. Это серьёзная атака на цепочку поставок, но она не означает, что скомпрометированы все кошельки Ledger или обычные туристические eSIM.
Что произошло в истории с Ledger и eSIM?
Специалисты по безопасности задокументировали модифицированные Ledger Nano X с дополнительной электроникой внутри. Имплант устанавливается в настоящий аппаратный кошелёк и перехватывает данные, которые защищённый чип передаёт OLED-дисплею. Это происходит во время первоначальной настройки, когда устройство показывает пользователю seed-фразу из 24 слов.
Скрытая плата способна восстановить эти слова по данным экрана, сохранить их и отправить злоумышленнику по сотовой сети. По данным исследователей, более новые версии содержат модем, антенну и встроенную SIM. Таким образом, eSIM служит каналом связи для импланта, а не штатной функцией Ledger.
9 октября 2026 года Ledger сообщила, что расследует кражи средств, связанные с устройствами, проданными через CryptoBilis — авторизованного реселлера, работающего в некоторых странах Юго-Восточной Азии. Компания потребовала от продавца остановить продажи и отгрузки. На тот момент Ledger также заявила, что не получала аналогичных сообщений об устройствах, купленных напрямую у производителя.
⚠️ Оценки ущерба заметно различаются. В части публикаций фигурировала кража примерно на 15 млн долларов, тогда как независимые аналитики блокчейна позднее связали с потенциально причастными адресами гораздо более крупные суммы. На момент предупреждения Ledger не подтвердила ни итоговую сумму потерь, ни то, что их причиной стал именно имплант.
Как настоящий аппаратный кошелёк может быть скомпрометирован?
Обычно приватные ключи аппаратного кошелька хранятся в защищённом элементе. Этот чип создаёт ключи и подписывает транзакции, не раскрывая секретные данные. Однако при настройке кошелёк должен один раз показать пользователю слова восстановления. Для этого информация передаётся на дисплей.
Описанный имплант атакует именно этот канал, а не взламывает защищённый элемент. Исследователи Tibane Labs изучили несколько поколений устройства. В ранних образцах были заметные провода и уменьшенная сменная батарея. Новые варианты используют изготовленные на заказ гибкие платы, покрытия под цвет корпуса, стёртую маркировку компонентов и сотовые детали, спрятанные под экраном.
Опасность этой атаки в том, что обычные проверки могут не выявить проблему:
- Защищённый элемент остаётся настоящим, поэтому программная проверка подлинности может пройти успешно.
- Кошелёк способен нормально запускаться, заряжаться, подключаться и подписывать транзакции.
- Упаковка и внешний корпус могут не иметь заметных следов вмешательства.
- У импланта есть собственное мобильное соединение, поэтому ему не нужны телефон или Wi-Fi владельца.
💡 Представьте крошечного шпиона, подключённого к шлейфу дисплея. Ему необязательно вскрывать цифровой сейф: достаточно увидеть секрет в момент его появления на экране.
Какую роль играет eSIM — и чего она не делает?
Формулировка «кража криптовалюты через eSIM» может создать неверное впечатление. В этом случае встроенная SIM является частью несанкционированного устройства слежения. Она позволяет импланту незаметно отправлять перехваченные данные через сети LTE, LTE-M или NB-IoT.
Это не SIM-swap. При подмене SIM-карты преступник получает контроль над мобильным номером жертвы и перехватывает звонки или коды из SMS. Здесь скрытая eSIM не заменяет телефонную линию владельца. Она принадлежит импланту и работает независимо.
Инцидент также не связан напрямую с рисками вредоносных приложений, профилей или прокси-сервисов для туристических eSIM. Эту отдельную угрозу мы разбираем в материале о рисках бесплатных eSIM-прокси и краже кодов.
| Угроза | Что становится целью? | Роль мобильной сети | Основная защита |
|---|---|---|---|
| Аппаратный имплант | Слова восстановления, показанные на экране модифицированного кошелька | Скрытый модем отправляет перехваченные данные | Надёжный канал покупки и новая seed-фраза на проверенном устройстве |
| SIM-swap | Ваш номер телефона и подтверждение по SMS | Злоумышленник переносит номер на другую SIM | Аутентификация через приложение или аппаратный ключ |
| Вредоносное приложение eSIM или прокси | Учётные данные, трафик или коды активации | Небезопасный сервис управляет подключением | Проверенный провайдер и официальное приложение |
| Фишинг | Seed-фраза или данные для входа | Поддельный сайт или сообщение собирает секретные данные | Никогда не вводить слова восстановления в интернете |
Кому нужно действовать немедленно?
Самое конкретное официальное предупреждение касалось недавних клиентов CryptoBilis. Тем, кто купил устройство Ledger у этого реселлера в указанное 90-дневное окно, рекомендовали не начинать его настройку. Владельцам, уже активировавшим такой кошелёк, посоветовали перенести активы на новое устройство и создать совершенно новую seed-фразу.
Для владельцев в России и других странах, где устройства часто покупают через маркетплейсы или импортёров, главный вопрос — не только модель, но и происхождение конкретного экземпляра. Особая осторожность нужна, если кошелёк приобретён у продавца на маркетплейсе, неизвестного импортёра, реселлера с непрозрачной структурой или с рук. Исследователи получили новые образцы с имплантами через сторонние каналы в Японии, включая объявление на крупном маркетплейсе. При этом они не установили, что эти экземпляры поступили от CryptoBilis.
✅ Устройство, купленное напрямую у Ledger, не считается автоматически затронутым этой историей. В заявлении от 9 октября компания сообщила, что не получала обращений о таких случаях при прямых покупках. Это не отменяет базовых правил безопасности, но влияет на оценку срочности риска.
Что делать, если устройство Ledger могло быть модифицировано?
Если место покупки совпадает с предупреждением или у вас есть конкретные основания подозревать вмешательство, считайте любую seed-фразу, показанную этим устройством, потенциально раскрытой. Не пытайтесь решить проблему сбросом того же кошелька и повторным использованием прежних слов.
- Прекратите пользоваться подозрительным устройством. Не настраивайте его, не восстанавливайте на нём seed-фразу и не подтверждайте новые транзакции.
- Получите надёжную замену. Покупайте напрямую у производителя или следуйте официальной процедуре замены Ledger.
- Создайте совершенно новую seed-фразу на проверенном устройстве. Не импортируйте старую фразу.
- Переводите активы осторожно. Сначала отправьте небольшую тестовую сумму, проверьте адрес на доверенном устройстве и только затем переводите остаток.
- Сохраните доказательства. Не выбрасывайте кошелёк, коробку, чек, данные продавца, серийную информацию и документы о доставке.
- Обратитесь в поддержку Ledger через официальный сайт. Не переходите по ссылкам на поддержку из неожиданных сообщений.
- Сообщите о краже. Как можно быстрее свяжитесь с соответствующей биржей, местным подразделением по борьбе с киберпреступностью и квалифицированным блокчейн-аналитиком.
⚠️ Никогда не вводите 24 слова в Ledger Live, на сайте, в чате поддержки, форме или «сервисе проверки». Настоящая служба поддержки не должна запрашивать seed-фразу.
Можно ли обнаружить скрытый имплант дома?
Надёжного домашнего способа нет. Ранние версии отличались заменённой батареей и заметными проводами, припаянными вручную. В новейшем описанном образце, по данным исследователей, сохранилась оригинальная батарея, а гибкая плата с чёрным покрытием была спрятана под экраном. После вскрытия корпуса одним из немногих видимых признаков оказался тонкий антенный провод.
Самостоятельное вскрытие кошелька может повредить устройство, уничтожить доказательства, создать опасность из-за аккумулятора и осложнить обращение по гарантии или в поддержку. Нормальный внешний вид, правильная упаковка и успешная проверка подлинности не исключают дополнительную электронику, если защищённый элемент остался настоящим.
💡 Если устройство подпадает под предупреждение реселлера, следуйте указаниям производителя, а не разбирайте кошелёк дома. Лаборатории безопасности могут исследовать его с помощью микроскопии, электрического анализа и контролируемой разборки.
Делает ли этот инцидент туристические eSIM небезопасными?
Нет. Потребительская туристическая eSIM — это цифровой тариф, который устанавливается на совместимый смартфон. В описанной атаке встроенная SIM припаяна к несанкционированному аппаратному импланту. Обе технологии используют стандарты мобильной связи, но их назначение и модели риска различаются.
Выбирая мобильный интернет для поездки, пользуйтесь известным провайдером, устанавливайте профиль только по официальной инструкции, защищайте аккаунт надёжной аутентификацией и избегайте сервисов, которые просят слова восстановления криптокошелька. Компании, предоставляющей связь в путешествии, ваша seed-фраза не нужна.
Наша подборка проверенных eSIM-провайдеров поможет сравнить легальные варианты подключения за границей. Однако она не заменяет проверку безопасности аппаратного кошелька.
Что эта атака меняет в безопасности аппаратных кошельков?
Главный вывод: «настоящий чип» не всегда означает «устройство без постороннего вмешательства». Защищённые элементы по-прежнему важны, но они работают внутри более широкой физической системы. В неё входят дисплей, линии питания, кнопки, шины передачи данных и цепочка поставок.
По возможности покупайте кошелёк у производителя. Создавайте seed-фразу только на устройстве, которому доверяете. Храните слова восстановления офлайн и проверяйте реквизиты транзакции на экране самого кошелька. Для крупных сумм можно распределить риск между независимо приобретёнными устройствами или использовать тщательно настроенную мультиподпись.
Не менее важно отделять подтверждённые факты от предположений. Исследователи продемонстрировали работающие сотовые импланты и показали, что их конструкция становится профессиональнее. Ledger признала сообщения о кражах, связанных с реселлером. Однако публичные данные пока не раскрывают полную цепочку распространения, общее число затронутых кошельков и окончательную подтверждённую сумму ущерба.
FAQ
Ledger сама добавила eSIM в Nano X?
Нет. Упомянутая eSIM является частью несанкционированного импланта, установленного в настоящие Ledger Nano X. Это не штатная функция кошелька.
Может ли устройство с имплантом пройти проверку подлинности Ledger?
По словам исследователей, да. Защищённый элемент остаётся настоящим, а имплант отслеживает соединение с дисплеем, не заменяя основной защищённый чип.
Может ли имплант украсть seed-фразу без доступа к интернету владельца?
Сообщается, что он содержит собственный сотовый модем, антенну и встроенную SIM. Поэтому перехваченные слова можно передать без телефона, Wi-Fi или подключения компьютера владельца.
Нужно ли всем владельцам Ledger срочно переводить криптовалюту?
Нет, общего предупреждения для всех устройств не было. Срочные действия прежде всего актуальны для клиентов, которых касается предупреждение Ledger о реселлере, а также для тех, у кого есть обоснованные подозрения по поводу продавца или физического вмешательства.
Достаточно ли сбросить подозрительный кошелёк?
Нет. Если прежняя seed-фраза могла быть перехвачена, сброс устройства не сделает эти слова снова секретными. Создайте новую фразу на доверенном оборудовании и переведите активы на полученные из неё адреса.
Я увлечен путешествиями и технологиями и решил объединить эти два мира, чтобы помочь путешественникам разобраться в джунглях интернет-опций за границей. Как инженер-программист, я использую свои навыки для создания простого, практичного и прозрачного контента. Моя цель? Дать вам все необходимые инструменты, чтобы вы могли легко и выгодно оставаться на связи во время своих поездок. 🌍📲