Ledger розслідує викрадення $86 млн з гаманців реселера CryptoBilis

Ledger розслідує повідомлення про викрадені кошти з пристроїв, які продавав реселер CryptoBilis у Південно-Східній Азії. Анонімний ончейн-дослідник Specter оцінив збитки у понад $86 млн. Підтвердження цієї суми немає, тож до цифри варто ставитися обережно.

Що відомо на 9 жовтня

За даними CoinDesk, Specter написав в X, що простежив підозрілі адреси виведення в мережах Bitcoin, Ethereum і Tron. Підставою стали скарги користувачів Ledger в X та на Reddit. Йдеться про сотні гаманців.

Компанія визнала, що отримала скарги на зниклі кошти від покупців, які брали пристрої через CryptoBilis. Суму втрат і причину вона не назвала. Скільки людей постраждало і чи пов'язані крадіжки між собою, теж невідомо.

Як можна обійти апаратний гаманець?

Щоб зрозуміти, чому це лякає, згадаємо принцип. Апаратний гаманець тримає приватні ключі офлайн, а відновлюються вони зі seed-фрази (12 або 24 слова). Хто знає фразу, той керує грошима. Пристрій тут лише зручна оболонка.

CoinDesk називає одну з можливих версій: атаку на ланцюг постачання. Ось як вона виглядала б крок за кроком:

• Підміна до продажу: зловмисник готує пристрій із seed-фразою, яку вже знає.
• Покупець вмикає гаманець, бачить звичайний інтерфейс і переказує на нього гроші.
• Ключі при цьому є у двох людей, тільки власник про це не здогадується.
• Викрадення може статися через тижні, коли на адресі лежить пристойна сума.

Це лише гіпотеза. Ні підміну пристроїв, ні заздалегідь створені фрази поки ніхто не підтвердив.

Чи зламали саму Ledger?

Ніщо на це не вказує. Розслідування стосується техніки, проданої через стороннього продавця, а доказів злому систем Ledger чи її технології немає. Це різні сценарії, і плутати їх не можна.

Проте масштаб бренду робить історію помітною для всього ринку. Компанія з Парижа працює з 2014 року й, за її словами, продала понад 7 млн пристроїв. Багато власників обрали її якраз, щоб не залежати від бірж.

Що радить Ledger

Ledger попросила CryptoBilis призупинити продажі та відправлення. Тим, хто купував пристрої в цього реселера за останні 90 днів, вона радить не запускати їх. Якщо гаманець уже активовано, активи варто перенести на новий Ledger і згенерувати нову seed-фразу. Старою користуватися не можна.

Рік і без того важкий для безпеки. За даними DefiLlama, у вересні біржа Bitget втратила понад $350 млн, раніше були Liquid Network (близько $320 млн), Drift ($295 млн) і Kelp ($293 млн). Якщо $86 млн підтвердяться, це буде ще один великий удар.

Що робити власнику гаманця

Ми в Kurslog радимо просте правило: апаратний гаманець купується в виробника або в його офіційному магазині. Знижка на маркетплейсі чи у випадкового реселера не варта ризику. Зверніть увагу на упаковку, а головне на seed-фразу. Якщо вона вже надрукована на картці в коробці, пристрій викидайте. Справжній гаманець завжди створює фразу сам, на вашому екрані.

Поки Ledger не оприлюднила результати, кращий захист це перевірка джерела покупки. Оновлення компанія обіцяє надавати в міру розслідування.