Устройства Ledger, купленные у реселлера CryptoBilis, опустошили у владельцев без единой подписи с их стороны. Производитель начал расследование 9 октября 2026 года, после сообщений о краже у покупателей в Индонезии, Малайзии и на Филиппинах, и попросил реселлера остановить продажи. 10 октября Ledger подтвердила аппаратную закладку в устройстве одного из пострадавших. Оценки ущерба расходятся: CoinDesk писал про 86 млн долларов, Bitquery по полной трассировке насчитала 102 млн, сводки от 12 октября называют около 90 млн.

Что известно

Первую цифру дала публикация CoinDesk 9 октября: псевдонимный исследователь Specter проследил вывод более 86 млн долларов из «сотен кошельков» на Bitcoin, Ethereum и Tron. Позже вышла полная трассировка Bitquery: 102 млн долларов с 324 кошельков в шести сетях — Tron (140 кошельков, 79,3 млн в USDT), Bitcoin (122 кошелька, 16,8 млн), Ethereum (33 кошелька, 3,7 млн), остальные сети вместе около 2 млн. Третья сводка, от 12 октября, говорит про 90 млн. Число сетей, учёт тестовых переводов и дата отсечки у расчётов разные, поэтому единой суммы ущерба нет — есть диапазон от 86 до 102 млн долларов.

Хронология по Bitquery: 25 сентября созданы адреса управления, с 26 сентября по 7 октября прошло 41 тестовая транзакция, 9 октября в 04:59 UTC начался вывод. Тридцать кошельков на Tron опустошили за три секунды, все шесть сетей — за 47 минут. Из украденного 10 млн долларов заморозил Tether, 23,9 млн конвертированы в USDD, который Tether заморозить не может, около 6680 ETH прошли через Tornado Cash и Zcash, 2,38 млн USDC остаются в опознанных адресах и могут быть заблокированы Circle. На 12 октября около 82 млн всё ещё видны в сетях.

Два ходовых утверждения не подтверждены. Первое — что скомпрометированы системы самой Ledger: CoinDesk отмечает, что доказательств нет, подтверждены лишь закладка в устройстве и канал поставки через реселлера. Второе — что устройства разошлись за пределы Азии: отдельные покупатели писали про «официальный европейский магазин», но Ledger такие случаи не фиксировала. Правовой оценки действий реселлера тоже пока нет.

Как это было раньше

Это третий виток одного сюжета. В 2020 году утечка базы клиентов Ledger дала волну фишинга и угроз по домашним адресам, в 2023 году уязвимость в Ledger Connect Kit перенесла риск на софтверное окружение. Теперь устройство ломают до того, как оно попало к владельцу. Ближайшая параллель года — взлом Bitget через чужого подрядчика, который шёл 24 дня: там тоже сломали не сам продукт, а звено вокруг него. Хронику текущего дела мы вели отдельно — первые оценки по реселлеру и подтверждение закладки производителем. В отличие от дела Uranium Finance с вынесенным приговором, здесь никому ничего не предъявлено.

Диапазон оценок: 86 млн долларов (CoinDesk) — около 90 млн (сводка 12 октября) — 102 млн (Bitquery). Для сравнения: инцидент Coldcard в июле 2026 года оценивают в 115–130 млн долларов. Из 102 млн заморожено 10 млн, отслеживается 82 млн, в приватные протоколы ушло около 6680 ETH.

Что это значит для рынка

Из шести брендов аппаратных кошельков, сообщивших о проблемах в 2026 году, средства пропали в двух: у Coldcard из-за слабой генерации ключа и у Ledger через подменённые устройства. Ни в одном случае причиной не была математика подписи — сломались прошивка и канал поставки, то есть те места, которые владелец способен проверить сам. У Trezor нашли уязвимость чипа TROPIC01 в Safe 7, но для атаки нужны физическое владение и лабораторное оборудование, средства не пострадали.

Второй вывод — про механику возврата. Работающим инструментом оказалась заморозка эмитентом, и это учли: 23,9 млн ушли в USDD, у которого такого рычага нет. Расчёт на «эмитенты вернут» не работает там, где активы выбраны без администратора.

Трактовка «аппаратные кошельки больше не защищают» выглядит преувеличенной: устройство свою задачу выполняло, подвела логистика. Недооценённым я считаю другое — разрыв между 86 и 102 млн долларов и то, что около 82 млн всё ещё видны в сетях. История не закрыта: сумма может быть пересчитана в любую сторону, а часть средств возвращена. Текст, который называет одну цифру окончательной, выдаёт промежуточный снимок за итог.

Что делать читателю

Рекомендации Ledger короткие: покупать у производителя или авторизованных реселлеров, проходить Genuine Check, а при сомнениях в происхождении устройства — переносить активы на новое с заново сгенерированной фразой. Наши разборы по шагам: миграция активов на аппаратное устройство, откуда берутся 24 слова восстановления, обновление прошивки без потери доступа.

Для крупных сумм один ключ — слабая схема: смотрите настройку мультисиг-хранилища и хранение на годы. Если есть подозрение, что средства ушли, пригодятся отслеживание украденных средств и отдельное устройство под операции. Раз в год стоит прогонять чек-лист безопасности.

Вердикт

Подтверждены закладка в устройстве и канал поставки через одного реселлера; компрометация самой Ledger — нет. Сумма останется диапазоном 86–102 млн долларов, пока расчёты не сверят по единому периметру. Следить стоит за тем, появятся ли подтверждённые случаи вне Азии и как пересчитают итог по мере движения оставшихся 82 млн.

Над обзором работали: Иван Григорьев — разбор и оценка, редакция Cryptium — проверка фактуры. Разборы и сводки — в Telegram-канале.