Аппаратный кошелёк со шпионом: как украли секретную фразу, не взламывая защитный чип
Секретную фразу можно украсть в тот момент, когда вы впервые видите её на экране аппаратного кошелька. По такой схеме работала атака, которую в октябре 2026 года описала Ledger: внутри устройств нашли посторонний модуль, который считывал слова с экрана и отправлял их через мобильную сеть. Защитный чип при этом работал штатно.
Владелец мог делать всё правильно: записать 24 слова на бумагу, никому их не показывать, спрятать листок дома. Копия всё равно уходила злоумышленнику в момент настройки.
История касается изменённых устройств от конкретного продавца. Вывод из неё шире: безопасность холодного кошелька начинается с покупки.
Что произошло с кошельками от CryptoBilis
Ledger расследует кражи у покупателей CryptoBilis, продавца устройств в Юго-Восточной Азии. 13 октября компания подтвердила, что внутри одного из исследованных устройств нашли посторонний модуль. На дату сообщения все подтверждённые потери были связаны с устройствами этого продавца. Число пострадавших и сумму ущерба Ledger не назвала.
К 19 октября расследование продолжалось: по данным Bloomberg, компания проверяла сообщения об изменённых устройствах, купленных в других местах. Сообщения пока не равны подтверждённым кражам, поэтому переносить историю на все кошельки Ledger или на любые маркетплейсы оснований нет.
Как работал шпионский модуль
Аппаратный кошелёк хранит ключи, которыми подписываются операции с криптовалютой. При настройке устройство создаёт фразу восстановления, в описанном случае из 24 слов. По ней доступ к кошельку восстанавливается на любом совместимом устройстве. Исходный аппарат для этого не нужен.
Схема по описанию команды безопасности Ledger Donjon:
- Покупатель включает новое устройство и начинает настройку.
- Экран показывает фразу восстановления.
- Модуль внутри корпуса считывает изображение с экрана.
- Встроенный микроконтроллер распознаёт слова.
- Модуль отправляет их через LTE с помощью eSIM, встроенной SIM-карты.
Прошивку, подписи и транзакции модуль не трогал. Защитный чип Secure Element оставался оригинальным. Взламывать его атакующим и не требовалось: они подсмотрели фразу.
Это похоже на сейф с хорошим замком и камерой, направленной на листок с кодом. Замок исправен, код уже известен.
Почему проверка подлинности не спасла
У Ledger есть Genuine Check, проверка подлинности защитного чипа. В документации компания пишет прямо: такая проверка не находит посторонние физические изменения, например шпионский модуль, если оригинальный Secure Element на месте.
Зелёная отметка в приложении отвечает на один вопрос: настоящий ли чип. Есть ли в корпусе лишние детали, она не показывает.
Смена PIN-кода и обновление приложения тоже ничего не исправят, если фраза уже утекла. Фраза открывает доступ к средствам без PIN-кода и без самого устройства.
Покупка холодного кошелька: где решается безопасность
Холодный кошелёк покупают, чтобы меньше зависеть от биржи, телефона и браузера. Но в момент покупки вы доверяете всей цепочке между заводом и своими руками: продавцу, складу, курьеру, иногда предыдущему владельцу. Случай с CryptoBilis показывает, что злоумышленники встраиваются именно в эту цепочку. Изменённый аппарат может долго ждать, пока владелец перенесёт на него сбережения.
Поэтому к выбору продавца стоит относиться так же серьёзно, как к хранению фразы.
Покупайте у производителя или у продавцов из его официального списка. Список открывайте на сайте производителя сами, без перехода по ссылке из объявления. На маркетплейсе смотрите, кто именно продаёт: сам бренд, официальный дистрибьютор или частный магазин. Статус продавца не даёт абсолютной гарантии, CryptoBilis тоже продавал устройства Ledger. Зато он сокращает число посредников.
Слишком низкая цена требует объяснения. Если кошелёк заметно дешевле, чем у производителя, разница откуда-то взялась. В худшем случае её оплатят ваши будущие накопления.
Избегайте подержанных и вскрытых устройств. Аппарат «после проверки» или «открыт только для фото» уже побывал в чужих руках без вашего контроля.
Сохраняйте чек, заказ и переписку. Если производитель опубликует предупреждение о продавце или партии, эти данные понадобятся первыми.
Что проверить до первого пополнения
Коробку и корпус. Следы вскрытия, повреждённые пломбы, царапины на швах требуют объяснения у продавца.
Комплект. Карточка с уже вписанными словами или заранее заданный PIN-код означают, что устройство использовать нельзя. Фразу для нового кошелька создаёт само устройство во время настройки, и до этого её не должен видеть никто.
Штатную проверку подлинности. Если приложение выдаёт предупреждение, остановите настройку и свяжитесь с производителем. Успешный результат подтверждает чип, а целостность корпуса остаётся на вашем осмотре и выборе продавца.
Тестовый перевод проверяет только операцию. Он покажет, что средства доходят. Тайное копирование фразы он не выявит: злоумышленнику выгоднее дождаться крупной суммы.
Если устройство уже куплено
Настройку ещё не начинали
Если продавец назван в предупреждении производителя, не включайте устройство и свяжитесь с поддержкой. Покупателям CryptoBilis Ledger рекомендовала именно это и отдельно запретила вводить в такое устройство фразу от другого кошелька. Если покупка сделана в другом месте, сверьтесь с актуальными сообщениями производителя.
Устройство настроено, средств на нём нет
Если подозрение подтвердилось, считайте фразу скомпрометированной. Переносить её на новый аппарат бессмысленно: у того, кто её скопировал, останется доступ. Новому хранилищу нужна новая фраза, созданная на доверенном устройстве.
На кошельке уже есть средства
Ledger рекомендовала затронутым покупателям как можно быстрее перевести активы на новое устройство с новой фразой. Сначала создайте новый кошелёк на доверенном аппарате, затем переведите на него средства и сверьте адрес назначения на экране. Фразу от подозрительного устройства в новый кошелёк не импортируйте.
Если средства уже пропали
Сохраните сведения о покупке, адреса и идентификаторы транзакций. Обратитесь в официальную поддержку производителя и в полицию. Устройство не вскрывайте и никому не отправляйте: Ledger просит согласовать это с поддержкой и правоохранительными органами. Самостоятельная разборка может повредить электронику и уничтожить следы вмешательства.
После кражи часто появляются «специалисты по возврату криптовалюты» за процент. Ledger напоминает, что её сотрудники не звонят пользователям, не пишут первыми и никогда не запрашивают 24 слова. Просьба назвать фразу означает мошенничество, кто бы ни представлялся.
Вопросы покупки, вывода и операций в аккаунте BitTeam решает поддержка биржи. Аппаратное устройство проверяет производитель.
Если вы только собираетесь покупать криптовалюту, начните с аккаунта на Bit.Team, а способ долгого хранения выбирайте, когда будете уверены в устройстве.
Перед первым пополнением ответьте себе на три вопроса: у кого я купил кошелёк, что именно подтвердила проверка и кто, кроме меня, мог видеть экран во время настройки.