Закладки в Ledger Nano X призвели до крадіжки $93,2 млн

10 жовтня 2026 року Ledger підтвердила виявлення несанкціонованого електронного імпланта в одному з пристроїв клієнта. Компанія зупинила продажі запасів реселера CryptoBilis у Південно-Східній Азії до завершення розслідування.

Імплант перехоплював сигнали між захищеним елементом гаманця та дисплеєм. Під час першого налаштування Ledger Nano X генерує seed-фразу з 24 слів. Вона дає доступ до криптоактивів і відображається на екрані пристрою. Закладка зчитувала ці дані, відновлювала фразу та передавала її через вбудований LTE-модем із SIM-картою.

Отримавши seed-фразу, зловмисники могли керувати гаманцями дистанційно, без доступу до фізичного пристрою або серверів Ledger. Тестові транзакції відстежували протягом двох тижнів перед масштабним виведенням коштів.

За оцінкою Bitquery, з 315 гаманців у шести блокчейнах викрали близько $93,2 млн. Galaxy Digital оцінює збитки приблизно у $91 млн і відстежила 477 адрес. Різниця пов’язана з методиками підрахунку.

Найбільше коштів втратили в мережі Tron — $64,5 млн, або 70,9% загальної суми. На Bitcoin припало $17,7 млн, приблизно 213 BTC. Втрати в Ethereum та сумісних із ним мережах становили $8,8 млн. У 25 гаманцях Tron однаковий дозвіл на переказ токенів підписали протягом трьох секунд. Після цього з них вивели $29 млн у USDT.

Tibane Labs дослідила три покоління модифікованих Nano X. У ранніх версіях були помітні дроти та зменшена батарея. У пристрої, датованому вереснем 2026 року, використали окрему друковану плату під екраном, LTE-модем, антену та компоненти зі стертою маркировкою. Оригінальну батарею залишили на місці, тому зміни було складно помітити після відкриття корпусу.

Два модифіковані гаманці Tibane Labs отримала через японські маркетплейси, а не від CryptoBilis. Кількість скомпрометованих пристроїв наразі невідома: дослідження підраховували адреси, з яких вивели кошти, а не число заражених гаманців.

Функція Genuine Check перевіряє справжність захищеного чипа Ledger, але не виявляє фізичних змін в інших частинах пристрою. Тому модифікований гаманець зі справжнім Secure Element може пройти цю перевірку.

Tether заморозив близько $10 млн викрадених USDT. Circle може заморозити ще $5,35 млн в USDC після переміщення коштів через Tornado Cash і Zcash. Емітенти централізованих стейблкоїнів можуть зробити токени на окремих адресах непереказними. Для Bitcoin та Ethereum такого механізму немає.

Ledger контактує з постраждалими, співпрацює з правоохоронними органами та посилює захист пристроїв від фізичного втручання. Користувачам, які придбали Nano X у CryptoBilis, рекомендують не ініціалізувати пристрої. Якщо гаманець уже налаштували, seed-фразу слід вважати розкритою, а активи перенести на новий пристрій із новою фразою, згенерованою на перевіреному гаманці.