Крадіжка криптовалюти через eSIM у Ledger: що сталося
Коротко: ось що ви дізнаєтеся з цієї статті: справжній Ledger Nano X, за даними дослідників, можна модифікувати прихованим стільниковим імплантом. Він зчитує фразу відновлення з лінії дисплея та передає її через вбудовану eSIM. Загроза серйозна, але йдеться про атаку на ланцюг постачання, а не про компрометацію всіх гаманців Ledger чи звичайних туристичних eSIM.
Що сталося у справі про викрадення криптовалюти з Ledger?
Дослідники кібербезпеки задокументували модифіковані Ledger Nano X із додатковими компонентами всередині. Імплант встановлено у справжній гаманець. Під час першого налаштування він перехоплює дані, які захищений елемент передає на OLED-екран для показу фрази відновлення з 24 слів.
Прихована плата може відтворити ці слова з даних дисплея, зберегти їх і надіслати зловмиснику через мобільну мережу. За повідомленнями, новіші версії мають модем, антену та вбудовану SIM. Отже, eSIM тут — канал зв’язку для імпланта, а не офіційна функція Ledger.
9 жовтня 2026 року Ledger повідомила, що розслідує випадки викрадення коштів, пов’язані з пристроями від CryptoBilis — авторизованого реселера, який працює в частині країн Південно-Східної Азії. Компанія попросила продавця зупинити продажі й відправлення. На той момент Ledger також заявила, що не отримувала аналогічних повідомлень щодо пристроїв, придбаних безпосередньо в компанії.
⚠️ Оприлюднені оцінки збитків суттєво різняться. Частина публікацій писала про крадіжку приблизно на 15 мільйонів доларів, тоді як незалежні ончейн-дослідники пізніше пов’язали з потенційно спорідненими адресами значно більші суми. На момент попередження Ledger не підтвердила ані суму втрат, ані імплант як їхню причину.
Як справжній апаратний гаманець міг бути скомпрометований?
Зазвичай апаратний гаманець зберігає приватні ключі в захищеному елементі. Цей чип генерує ключі та підписує транзакції, не розкриваючи секретні дані. Однак під час налаштування гаманець має один раз показати слова відновлення. Для цього він передає візуальні дані на екран.
За описаною схемою імплант атакує саме цей канал, а не зламує захищений елемент. Дослідники Tibane Labs описали кілька поколінь пристрою. У ранніх зразках були помітні дроти та менший змінний акумулятор. Новіші версії використовують спеціальні гнучкі плати, покриття в колір корпусу, стерте маркування компонентів і стільникові деталі, заховані під дисплеєм.
Ця атака особливо небезпечна, бо звичні перевірки можуть не виявити нічого підозрілого:
- Захищений елемент може бути справжнім, тому програмна перевірка автентичності здатна пройти успішно.
- Гаманець може нормально запускатися, заряджатися, підключатися та підписувати транзакції.
- Паковання й зовнішній корпус можуть не мати помітних пошкоджень.
- Імплант має власне мобільне з’єднання, тому йому не потрібні телефон або Wi-Fi жертви.
💡 Уявіть крихітного шпигуна, під’єднаного до шлейфа дисплея. Йому не потрібно зламувати сейф, якщо він може побачити секрет у момент появи на екрані.
Що робить eSIM — і чого вона не робить
Фраза «крадіжка криптовалюти через eSIM» може створити хибне враження. У цьому випадку вбудована SIM, імовірно, є частиною несанкціонованого обладнання для стеження. Вона дає імпланту непомітний канал для передавання перехоплених даних через мережі LTE, LTE-M або NB-IoT.
Це не SIM-swapping. Під час підміни SIM-картки злочинець перехоплює мобільний номер жертви, щоб отримувати дзвінки або коди з SMS. Тут прихована eSIM не замінює номер власника гаманця. Вона належить імпланту й працює незалежно.
Так само ця атака не пов’язана з ризиками шкідливих застосунків, профілів або проксі-сервісів для туристичних eSIM. Цю окрему модель загроз ми розглянули в матеріалі про ризики безкоштовних eSIM-проксі та викрадення кодів.
| Загроза | Що є ціллю? | Роль мобільної мережі | Основний захист |
|---|---|---|---|
| Апаратний імплант | Слова відновлення, показані на модифікованому гаманці | Прихований модем передає перехоплені дані | Надійний канал покупки та нова фраза на перевіреному пристрої |
| Підміна SIM-картки | Ваш номер телефону та SMS-підтвердження | Зловмисник переносить номер на іншу SIM | Автентифікація через застосунок або апаратний ключ |
| Шкідливий застосунок чи проксі eSIM | Дані облікового запису, трафік або коди активації | Небезпечний сервіс обробляє з’єднання | Надійний провайдер та офіційний застосунок |
| Фішинг | Фраза відновлення або дані для входу | Підроблений сайт чи повідомлення збирає секрети | Ніколи не вводити слова відновлення онлайн |
Кому потрібно діяти негайно?
Найчіткіше офіційне попередження стосувалося нещодавніх клієнтів CryptoBilis. Людям, які придбали Ledger у цього реселера протягом зазначеного 90-денного періоду, рекомендували не налаштовувати пристрій. Тим, хто вже його ініціалізував, порадили перенести активи на новий гаманець із новою фразою відновлення.
Варто бути особливо обережними й тоді, коли гаманець куплено у продавця на маркетплейсі, невідомого імпортера, реселера з непрозорою структурою власності або з рук. Дослідники отримали новіші зразки з імплантами через сторонні канали в Японії, зокрема через оголошення на великому маркетплейсі. Водночас вони не встановили, що ці пристрої походили від CryptoBilis.
✅ Гаманець, придбаний безпосередньо в Ledger, не вважається автоматично ураженим через цей звіт. У заяві від 9 жовтня компанія зазначила, що не має повідомлень про такі випадки серед прямих покупців. Це не скасовує базових правил безпеки, але змінює оцінку негайного ризику.
Що робити, якщо ваш Ledger може бути заражений
Якщо спосіб придбання збігається з попередженням або є конкретні ознаки втручання, вважайте будь-яку фразу відновлення, показану цим пристроєм, потенційно розкритою. Скидання того самого гаманця та повторне використання старих слів проблему не вирішить.
- Припиніть користуватися підозрілим пристроєм. Не налаштовуйте його, не відновлюйте на ньому фразу та не підтверджуйте нові транзакції.
- Отримайте надійну заміну. Купіть пристрій безпосередньо у виробника або дотримуйтеся офіційних інструкцій Ledger щодо заміни.
- Створіть цілком нову фразу відновлення на перевіреному обладнанні. Не імпортуйте стару фразу.
- Обережно перенесіть активи. Спочатку виконайте невелику тестову транзакцію, перевірте адресу на екрані надійного пристрою, а потім переказуйте решту.
- Збережіть докази. Не викидайте гаманець, коробку, чек, дані продавця, серійні відомості та документи про доставлення.
- Зверніться до служби підтримки Ledger через офіційний сайт підтримки. Не переходьте за посиланнями з небажаних повідомлень.
- Повідомте про крадіжку. Якнайшвидше зв’яжіться з відповідною біржею, Кіберполіцією України або компетентним органом у вашій країні та кваліфікованим блокчейн-дослідником.
⚠️ Ніколи не вводьте 24 слова в Ledger Live, на сайті, у чаті підтримки, формі чи «інструменті перевірки». Справжня служба підтримки не повинна просити вашу фразу відновлення.
Чи можна знайти прихований імплант удома?
Надійно — ні. У ранніх версіях змінювали акумулятор і використовували помітні дроти, припаяні вручну. За повідомленнями, у найновішому задокументованому зразку залишили оригінальний акумулятор, а гнучку плату з чорним покриттям сховали під екраном. Після відкриття корпусу тонкий дріт антени був однією з небагатьох видимих ознак.
Самостійне розбирання може пошкодити гаманець, знищити докази, створити небезпеку через акумулятор та ускладнити звернення за гарантією або підтримкою. Неушкоджений корпус, правильне паковання та успішна перевірка автентичності не виключають додаткового обладнання, якщо сам захищений елемент залишається справжнім.
💡 Якщо ваш пристрій підпадає під попередження щодо реселера, дотримуйтеся інструкцій виробника, а не розбирайте його вдома. Лабораторії безпеки можуть дослідити обладнання за допомогою мікроскопії, електричного аналізу та контрольованого демонтажу.
Чи робить цей випадок туристичні eSIM небезпечними?
Ні. Туристична eSIM — це цифровий тариф мобільного зв’язку, який встановлюють на сумісний смартфон. Шкідливий компонент у цій справі — вбудована SIM, припаяна до несанкціонованого обладнання. Обидві технології використовують стільниковий зв’язок, але мають різне призначення та зовсім різні моделі ризику.
Обираючи мобільний інтернет для подорожі з України чи під час перебування за кордоном, користуйтеся відомим провайдером, установлюйте профіль лише за офіційною інструкцією, захищайте обліковий запис надійною автентифікацією та уникайте сервісів, які просять фразу відновлення криптогаманця. Компанії мобільного зв’язку вона не потрібна.
Наша добірка перевірених eSIM-провайдерів допоможе порівняти легальні варіанти зв’язку для поїздок. Однак вона не замінює перевірку безпеки апаратного гаманця.
- Інтуїтивний додаток з швидкою активацією та простим управлінням.
- Конкурентні ціни з регулярними акціями.
- Ефективна 24/7 підтримка, за відгуками — терпляча та уважна.
- Дуже конкурентні та прозорі ціни, на 50-70% дешевші за звичайний міжнародний роумінг.
- Швидка установка через QR-код, активується за кілька секунд після покупки.
- Великий вибір тарифів: локальні (для однієї країни), регіональні (Європа, Азія тощо) та світові для всіх профілів користувачів.
- Інтуїтивний і простий у використанні інтерфейс.
- Великий вибір тарифів для різних типів мандрівників.
- Швидка підтримка клієнтів 24/7 із відповіддю за 6 хвилин.
Як ця атака змінює підхід до захисту апаратних гаманців
Головний висновок: «справжній чип» не завжди означає «пристрій без стороннього втручання». Захищені елементи залишаються важливими, але вони працюють у ширшій фізичній системі з дисплеєм, лініями живлення, кнопками, шинами передавання даних і залежністю від ланцюга постачання.
За можливості купуйте гаманець безпосередньо у виробника. Генеруйте фразу відновлення лише на обладнанні, якому довіряєте, і зберігайте її офлайн. Завжди звіряйте деталі транзакції на екрані пристрою. Якщо сума активів значна, варто розподілити ризик між гаманцями з незалежних надійних джерел або продуманою мультипідписною схемою.
Водночас важливо чітко відділяти підтверджені факти від припущень. Дослідники продемонстрували працездатні стільникові імпланти та задокументували дедалі професійніші конструкції. Ledger визнала повідомлення про крадіжки, пов’язані з реселером. Однак публічні докази поки не встановлюють повний ланцюг розповсюдження, загальну кількість уражених гаманців або остаточну підтверджену суму збитків.
Поширені запитання
Чи додала Ledger eSIM до Nano X?
Ні. За повідомленнями, eSIM є частиною несанкціонованого імпланта, встановленого у справжні пристрої Nano X. Це не стандартна функція гаманця.
Чи може імплант пройти перевірку справжності Ledger?
За словами дослідників, так, оскільки захищений елемент залишається справжнім. Імплант стежить за з’єднанням із дисплеєм, а не замінює захищений чип.
Чи може імплант викрасти фразу відновлення без інтернету власника?
За повідомленнями, він має власний стільниковий модем, антену та вбудовану SIM. Тому перехоплені слова можна передати без телефону, Wi-Fi чи інтернет-з’єднання комп’ютера власника.
Чи всім власникам Ledger потрібно негайно переводити криптовалюту?
Ні, загального попередження для всіх пристроїв не було. Негайні дії насамперед потрібні клієнтам, на яких поширюється попередження Ledger щодо реселера, а також людям із вагомими підставами підозрювати небезпечний канал покупки або фізичне втручання.
Чи достатньо скинути підозрілий гаманець?
Ні. Якщо стару фразу могли перехопити, скидання того самого пристрою не зробить ці слова знову секретними. Створіть нову фразу на перевіреному обладнанні та переведіть активи на адреси, згенеровані з неї.
Захоплюючись подорожами та технологіями, я поєднав ці два світи, щоб допомогти мандрівникам зорієнтуватися в джунглях варіантів інтернет-зв’язку за кордоном. Як інженер із розробки програмного забезпечення, я спрямовую свої навички на створення простого, практичного та зрозумілого контенту. Моя мета? Надати вам усі необхідні інструменти, щоб ви залишалися на зв’язку легко та за найкращою ціною під час своїх подорожей. 🌍📲