Ledger сообщил об ущербе почти на 90 млн долларов из-за массового вывода средств, связанного с CryptoBilis

По данным Odaily Planet Daily, производитель аппаратных кошельков Ledger вновь столкнулся с инцидентом безопасности: сторонние компании по кибербезопасности оценивают потери почти в $90 млн. Ledger проверяет вывод средств, который связывают с устройствами, проданными через авторизованного дистрибьютора в Юго-Восточной Азии — CryptoBilis. Компания потребовала от дистрибьютора немедленно приостановить продажи и отправки. Пользователям, купившим устройства через этот канал в течение последних 90 дней, рекомендуют проявить осторожность и рассмотреть перенос активов. Причина инцидента официально не подтверждена; в качестве основной версии рассматриваются компрометация цепочки поставок или вмешательство в устройства. Ledger напомнил о наиболее заметных инцидентах прошлых лет, связанных с атаками и рисками потерь: • 2018 год: исследователи выявляли уязвимости ранних устройств и сценарии атак на цепочку поставок. Демонстрировалась возможность подмены Nano S до отправки, обхода загрузчика MCU, нарушения изоляции и внедрения change-адреса в Bitcoin. Ledger выпускал бюллетени безопасности и исправления; большинство проблем имели исследовательский характер или требовали физического доступа. • 2020 год: масштабная утечка данных клиентов. Злоумышленники использовали API-ключи третьих сторон и уязвимости, связанные с Shopify, получив доступ к e-commerce и маркетинговым базам. Были раскрыты более 1 млн email-адресов и около 272 000–292 000 записей клиентов (имена, адреса, телефоны). Аппаратные кошельки и приватные ключи не пострадали, но инцидент привел к длительной волне фишинга, социальной инженерии и подделки "официальных" сообщений. • Декабрь 2023 года: атака на цепочку поставок Ledger Connect Kit. После фишинга бывшего сотрудника его аккаунт NPMJS был скомпрометирован, и атакующие выпустили вредоносную версию библиотеки. Код внедрялся в DApps, использующие Connect Kit, и вынуждал пользователей подписывать транзакции, приводившие к краже средств. Окно атаки длилось около двух часов, ущерб оценивался в $480 000–$600 000. Ни аппаратные устройства, ни Ledger Live напрямую не были взломаны. • Январь 2026 года: утечка данных заказов у стороннего партнера Globale. Несанкционированный доступ к системам платежного и логистического партнера раскрыл часть данных по заказам Ledger.com, включая имена, адреса и контактные сведения. Собственные системы Ledger и приватные ключи не пострадали, но фишинговые риски снова выросли. • Апрель 2026 года: в App Store появилась поддельная версия Ledger Live, которая выманивала seed-фразы. Приложение оставалось доступным около недели; потери составили примерно $9,5 млн, пострадали более 50 пользователей в нескольких блокчейнах. Apple позднее удалила приложение, Ledger повторил, что компания никогда не запрашивает 24-словную seed-фразу. • Август 2026 года: Ledger раскрыл уязвимости, связанные с подписанием в Ethereum-приложении, включая проблемы с перемежением команд, из-за чего отображаемые данные могли не совпадать с параметрами подписи, а также обходы clear-signing. Для эксплуатации требовалось участие вредоносного хоста; по заявлению компании, признаков реального использования против пользователей не было. В новых версиях проблемы устранены. • 9 октября 2026 года: массовый вывод средств в канале CryptoBilis. Оценка потерь — почти $90 млн. Ledger ведет расследование; предварительно инцидент выглядит как атака на цепочку поставок или вмешательство в устройства в рамках одного канала дистрибуции. Продажи приостановлены, пользователям из группы риска рекомендована миграция активов.