Хакеры похитили $86 млн у пользователей Ledger, установив аппаратные импланты в криптокошельки.

Производитель аппаратных кошельков Ledger сообщил о масштабной атаке на цепочку поставок, в ходе которой организованная преступная группа приобретала устройства, устанавливала в них несанкционированные аппаратные компоненты для получения seed-фраз, а затем возвращала кошельки в продажу через посредников.

По данным Ledger, злоумышленники создали собственную технологическую и логистическую инфраструктуру, включая серверы для сбора seed-фраз, а также системы вывода и отмывания похищенных средств. Компания утверждает, что преступники потратили миллионы долларов на подготовку и провели скоординированную операцию.

Расследование началось после того, как покупатели из Юго-Восточной Азии сообщили о потере средств с кошельков, приобретённых у малайзийского реселлера CryptoBilis. Ledger подтвердила наличие несанкционированного аппаратного импланта как минимум в одном из затронутых устройств.

Блокчейн-исследователь Specter оценил объём похищенных средств в $86 млн. Ledger не подтвердила эту сумму, а точное количество пострадавших пользователей пока неизвестно.

Компания подчёркивает, что её микросхемы, операционная система и серверы не были скомпрометированы. Атака произошла после того, как устройства покинули контролируемую Ledger цепочку поставок. По сути, злоумышленники использовали доверие покупателей к аппаратным кошелькам и каналу их распространения.

В рамках крупнейшего расследования в своей истории Ledger направила сотрудников в различные регионы, включая Европу, чтобы проверить другие цепочки поставок. Компания заявила, что проверенные устройства не содержали вредоносных компонентов. Авторизованные реселлеры и дистрибьюторы в Юго-Восточной Азии и Гонконге приостановили продажи. Ledger также сотрудничает с правоохранительными органами для отслеживания движения средств и ликвидации инфраструктуры преступников.

Инцидент произошёл на фоне других серьёзных атак на криптоиндустрию. В июле хакеры похитили у пользователей Coldcard биткоины на сумму около $120 млн. Кроме того, в течение года фиксировались утечки данных клиентов Ledger через платёжного посредника Global-e, после чего мошенники могли использовать полученную информацию для целевых атак.

Случай Ledger показывает, что аппаратный кошелёк сам по себе не гарантирует безопасность криптоактивов. Даже если ПО и криптографические компоненты устройства не взломаны, компрометация на этапе производства, логистики или перепродажи может привести к потере средств. При этом ключевой риск заключается в том, что пользователь может получить внешне исправное устройство, не подозревая о вмешательстве. Удачи!!!