Взлом Ledger в 2026 году: что произошло и как проверить свой кошелёк

Что произошло с Ledger

9 октября 2026 года появились сообщения о краже средств у покупателей CryptoBilis, продавца Ledger в Юго-Восточной Азии. 10 октября Ledger подтвердил аппаратный имплант в одном из устройств пострадавших. В заявлении от 15 октября компания описала вмешательство в настоящие устройства после их выхода из-под её контроля. По версии Ledger, защищённый чип, операционная система и серверы компании не были взломаны. Заявление Ledger, хронология подтверждения.

Bitquery оценивает потери в $102 млн из 335 кошельков; дата проверки этой оценки — 16 октября. Кошельки в расчёте не равны числу людей или физических устройств. Упомянутая аналитиками заморозка $10 млн USDT также не означает, что деньги возвращены потерпевшим. Исследование Bitquery.

Следует различать полную подделку, настоящий Ledger с добавленным имплантом и устройство с заранее известной продавцу фразой восстановления. Эти сценарии требуют разных проверок. Октябрьская история показала, что оригинальное устройство тоже можно физически модифицировать. Руководство Ledger по покупке.

Почему проверка подлинности не обнаруживает каждый имплант

Исследователи Tibane Labs описали дополнительные платы, перехватывающие данные экрана Nano X. Когда устройство показывает слова восстановления, имплант получает возможность их считать и передать через собственный сотовый модем. Домашний Wi-Fi для этого не нужен. Технический разбор Tibane Labs.

Genuine Check проверяет подлинность защищённого чипа. Ledger Donjon прямо оговаривает: при сохранении оригинального Secure Element такая проверка не обнаруживает все физические модификации. Поэтому зелёный результат не является заключением об отсутствии импланта. Модель угроз Ledger Donjon.

Фраза восстановления позволяет заново получить ключи от связанных с ней счетов. Если её скопировал злоумышленник, отключённый Ledger и новый PIN не мешают ему подписывать переводы со своего оборудования. Как работает фраза восстановления.

Какие продавцы встречаются в России

В каталоге авторизованных продавцов Ledger на дату проверки нет раздела России. Это не доказывает, что любой российский магазин продаёт подделки. Однако называть его авторизованным продавцом именно Ledger без подтверждения производителя нельзя. Каталог Ledger.

Примеры публичных предложений, которые можно проверить по сайтам самих магазинов:

• Sunscrypt, куда перенаправляется прежний домен Cryptonist.ru. Есть отдельный каталог Ledger. На той же странице перечислены бренды, для которых магазин заявляет официальный статус; Ledger среди этих ссылок не указан. Каталог Sunscrypt.

• Cryptoro. На сайте представлены, в частности, Nano X и Flex. Наличие карточки товара подтверждает предложение магазина, но не авторизацию Ledger и не происхождение конкретной партии. Сайт Cryptoro.

• LedgerWalletRussia. Сайт предлагает Nano X и в FAQ называет себя официальным интернет-магазином. Это заявление самого сайта: в текущем каталоге производителя российская авторизация не подтверждается. Сайт магазина, его FAQ.

Это ориентиры для проверки продавца, а не рейтинг надёжности и не список участников атаки. При заказе на маркетплейсе сохраните название конкретного продавца и его реквизиты: название площадки не заменяет эти сведения. У магазина стоит запросить документы о покупке и поставке, условия обращения с возвратами и подтверждение, что экземпляр не использовался для демонстраций или настройки.

Что известно о сообщении с Ozon

В открытом реестре Karpelès Lab есть карточка от 13 октября о Nano X, который, согласно сообщению покупателя, приобретён на Ozon. Исследовательский реестр описывает дополнительную плату, антенну и изменённую батарею; фотографии связываются с одним российским устройством. Реестр Karpelès Lab.

Это сообщение об отдельном экземпляре, а не подтверждённый масштаб заражения товаров Ozon. Из него нельзя вывести причастность всех продавцов площадки, число российских потерпевших или сумму краж в России. Статус в исследовательском реестре также не следует подменять формулировкой «Ledger подтвердил российскую партию».

Как проверить свою ситуацию

Начните с заказа. Найдите чек, дату покупки, продавца, страну отправления и переписку. Для товара, купленного через посредника, важен исходный канал поставки. Покупка в России сама по себе не отвечает на вопрос, где устройство находилось до вас.

Проверьте операции. Используйте известные публичные адреса и обозреватели соответствующих сетей. Для просмотра истории не нужны seed-фраза, подключение кошелька к случайному сайту или подпись сообщения. Снижение баланса в приложении сначала сопоставьте с реальными транзакциями.

Вспомните первую настройку. Готовая карточка со словами, выданный продавцом PIN или просьба активировать кошелёк вводом seed на сайте — серьёзные признаки опасности. Новую фразу владелец должен получать на своём доверенном устройстве. Правила безопасной покупки.

Не превращайте проверку в новый риск. Подозрительный неиспользованный кошелёк не стоит настраивать ради Genuine Check. Если устройство уже связано с кражей, сохраните его для исследования и сначала уточните порядок действий у поддержки. Не отправляйте seed, PIN или фотографии карточек продавцу, поддержке или в чат.

Что делать владельцу

Устройство куплено у CryptoBilis и ещё не настроено. Не начинайте настройку и обратитесь в поддержку Ledger.

Устройство из этого канала уже использовалось. Официальная рекомендация — перенести активы на новое доверенное устройство с новой фразой восстановления. Перенос прежних 24 слов в другой корпус не устраняет их возможную утечку. Не вводите никакую фразу на подозрительном устройстве. Официальное сообщение Ledger, публикация с рекомендациями.

Есть иные конкретные основания подозревать утечку seed. Создайте независимый кошелёк на доверенном устройстве. Проверьте адрес получателя на его экране и переносите оставшиеся активы с учётом сети и комиссии. Проверьте все связанные счета и сети, а также NFT и позиции DeFi. Прекратите новые поступления на старые адреса. Не стирайте единственный рабочий доступ до завершения переноса. Действия при компрометации seed.

Если пополнение для комиссии тут же исчезает, не повторяйте его вслепую: кошелёк может отслеживать автоматический бот. Для срочного разбора используйте официальный вход в SEAL 911.

Средства уже похищены. Сохраните хеши транзакций, адреса, время, сети, суммы, чек и переписку. Обратитесь в поддержку Ledger и полицию. Минюст РФ указывает, что сообщить о предполагаемом преступлении можно в любое отделение полиции. Сохранение доказательств и заявление не гарантируют возврата средств. Разъяснение Минюста.

Стоит ли вскрывать кошелёк самостоятельно

Вскрытие может показать посторонние детали, но может и повредить устройство, батарею или следы вмешательства. Фото «похожей платы» не заменяет сравнение конкретной модели и аппаратной ревизии. Отсутствие заметных проводов тоже не даёт окончательного ответа.

Для понимания конструкции полезны руководство Ledger по целостности устройства, видео осмотра Nano X и исследование Joe Grand с записью выступления. Разбор Nano X нельзя автоматически применять к Flex или Stax.

Если подозревается кража, согласуйте осмотр с поддержкой и следствием до вскрытия. Обычная поломка экрана или батареи сама по себе не доказывает наличие импланта.

Что не исправит утечку

Новый PIN, обновление прошивки и сброс устройства не отзовут уже скопированную фразу. Отзыв разрешений смарт-контрактов полезен при опасных approvals, но не возвращает исключительное владение ключами. Разъяснение Revoke.cash.

Не переходите по письмам о срочной «проверке seed», не устанавливайте присланную «защищённую версию» приложения и не переводите деньги человеку, обещающему гарантированное восстановление. Поддержка Ledger не просит 24 слова и не оказывает телефонную поддержку. Официальные контакты Ledger, предупреждения о фишинге.

Практическая привычка после этого инцидента проста: проверять происхождение конкретного экземпляра, хранить документы о покупке и понимать границы программной проверки. При доказанной или обоснованно подозреваемой утечке переходить нужно на новый секрет, а не только на новое устройство.