Мошенник потерял $4,8 млн на кошельках Ledger со скрытым имплантом

Мошенник, зарабатывавший на фейковых вакансиях, сам попал в ловушку. Он положил 60 Bitcoin (около $4,8 млн) на три кошелька Ledger и через 17 дней остался без денег. Об этом сообщила Chainalysis, а Decrypt, CoinDesk и Cointelegraph рассказали подробности.

Что именно произошло?

Chainalysis показала цепочку транзакций. 22 сентября организатор схемы перевёл выручку на три адреса Ledger. 9 октября злоумышленники опустошили каждый из них отдельным переводом на один общий кошелёк. С каждого адреса ушло около $1,64 млн.

Где именно мошенник купил устройства, аналитики не сказали. Однако даты и суммы совпадают с историей, которую Ledger раскрыла на этой неделе: кошельки, которые продавал южноазиатский реселлер CryptoBilis, имели скрытый имплант.

Как работал имплант?

Сначала напомню, что делает аппаратный кошелёк. Он хранит приватные ключи отдельно от интернета, а при настройке показывает на экране seed-фразу из 24 слов. Кто знает эти слова, тот контролирует монеты.

Команда Ledger Donjon, по её собственному сообщению, нашла в устройствах CryptoBilis такую схему:

• Считывание: при первой настройке имплант читал 24 слова прямо с экрана.
• Фраза уходила наружу через мобильную сеть LTE.
• Владелец ничего не замечал, потому что кошелёк работал как обычно.
• Между пополнением и кражей в этой истории прошло 17 дней, так что тревожных сигналов не было.

Какой обман вёл сам мошенник?

Схема называется task scam. Людям предлагают подработку: накручивать продажи и писать отзывы на настоящие товары. Сначала платят небольшие суммы, чтобы вызвать доверие.

Потом на счёте появляется "отрицательный баланс". Чтобы забрать свой заработок, нужно внести собственные деньги. Взнос исчезает вместе с заработком.

Cointelegraph пошутил про "мошенника мошенников", а Decrypt писал о злорадстве сообщества. Для блокчейна разницы нет. Ключи украли, монеты ушли. Жалости тут немного, но урок один для всех.

Насколько велик масштаб?

Один мошенник это лишь эпизод. Cointelegraph пишет о более чем $103,4 млн, похищенных с 530 адресов. Ончейн-следователь Specter называет более $86 млн, и Ledger эту цифру не подтверждала. К таким подсчётам стоит относиться осторожно, расследование продолжается. Cointelegraph называет это худшим скандалом с аппаратными кошельками после истории с seed-фразами Coldcard в конце июля.

Ledger утверждает, что все подтверждённые потери связаны с CryptoBilis, и попросила реселлеров в Индонезии, Сингапуре, Таиланде, на Филиппинах, во Вьетнаме, Малайзии и Гонконге остановить продажи. Европейский ритейлер MediaMarkt, по сообщениям, тоже приостановил продажу Ledger. Производитель Trezor с 1 января закрывает часть удалённых партнёров, хотя о подмене его устройств не слышно.

Что делать владельцам кошельков?

Покупайте устройство только у производителя. Более дешёвое предложение в стороннем магазине стоит риска, которого не видно глазом.

Если кошелёк уже куплен через посредника, переведите средства на новый, купленный напрямую. Ledger как раз показала Atom за $849 с защитой, которая, по её словам, остановила бы такие импланты и обнаруживает вмешательство даже в выключенном состоянии. Мы в Kurslog советуем смотреть не на цену устройства, а на цепочку, по которой оно до вас добралось.