Ledger раскрыла механизм компрометации сид-фраз через модифицированные аппаратные кошельки

Французская фирма Ledger, известная своими аппаратными криптокошельками, предоставила разъяснения касательно произошедшей утечки мнемонических фраз. Утверждается, что проблема не связана с программными недочётами или взломом защищённого чипа Secure Element. Источником утечки оказалась физическая модификация: в корпусе кошелька был обнаружен дополнительный электронный модуль, не предусмотренный стандартной конструкцией.

Этот модуль функционировал автономно от основных компонентов устройства, не вмешиваясь в операционную систему, процесс подписи транзакций или работу чипа Secure Element, который отвечает за безопасность криптографических ключей. Основная функция модуля заключалась в перехвате данных, отображаемых на экране.

Критическая точка

Критический момент наступал во время первоначальной настройки кошелька, когда устройство демонстрирует пользователю 24-словную сид-фразу, необходимую для восстановления доступа к средствам. Скрытый модуль считывал эти слова и передавал их посредством мобильного интернета через встроенную eSIM. Таким образом, информация уходила без ведома пользователя и без каких-либо следов в стандартном интерфейсе устройства.

Изначально Ledger заявляла о наличии такого модуля только в одном конкретном устройстве. Позднее компания признала, что все подтверждённые случаи краж связаны с кошельками, проданными через азиатского реселлера CryptoBilis. Устройства, приобретённые у других дистрибьюторов, по данным Ledger, не были затронуты.

CryptoBilis временно прекратил продажи продукции Ledger до завершения расследования. Точное число пострадавших и общая сумма ущерба остаются неизвестными, однако независимые эксперты оценивают потери в диапазоне 70-90 миллионов долларов.

Особо выделяется случай с инвестором, лишившимся 80 биткоинов (примерно 6,6 миллиона долларов). Средства находились на аппаратном кошельке Ledger, купленном у CryptoBilis. Эта ситуация подчёркивает парадокс: аппаратные кошельки выбирают именно для повышения безопасности по сравнению с онлайн-сервисами, а в данном случае уязвимость возникла на этапе, призванном гарантировать максимальную защиту.

Ledger рекомендует следующее: пользователи, купившие устройство у CryptoBilis и ещё не начавшие им пользоваться, не должны его настраивать. Те, кто уже настроил и использовал кошелёк, должны как можно скорее перевести средства на другое устройство и сгенерировать новую фразу восстановления. Смена пароля или переустановка ПО не помогут, так как скомпрометированные 24 слова остаются таковыми независимо от последующих действий.

Эта история ставит под сомнение не столько технологическую безопасность, сколько надёжность всей цепочки поставок. Даже самые передовые технологии защиты становятся бессмысленными, если посторонние могут модифицировать устройства на этапе их производства или дистрибуции. Физический кошелёк — это носитель доверия, и его нарушение на логистическом уровне подрывает репутацию бренда, которая не сможет компенсировать реальные потери.