Ledger сообщил об инциденте безопасности на $90 млн, связанном с дистрибьютором CryptoBilis

По данным ChainCatcher, производитель аппаратных кошельков Ledger столкнулся с новым инцидентом безопасности: сторонние компании по кибербезопасности оценивают потенциальный ущерб почти в $90 млн. Компания проверяет информацию о финансовых потерях, связанных с устройствами, проданными через авторизованного дистрибьютора в Юго-Восточной Азии — CryptoBilis. Ledger потребовал от партнёра немедленно приостановить продажи и отгрузки. Пользователям, которые приобрели устройства через этот канал в течение последних 90 дней, рекомендуют проявлять повышенную осторожность и при необходимости перевести активы на другие адреса. Первопричина инцидента пока не подтверждена; предварительно рассматриваются версии компрометации цепочки поставок или вмешательства в устройства. Крупные инциденты и уязвимости, ранее связанные с Ledger, по данным публикации: — 2018 год: выявлены ранние проблемы в аппаратной и цепочной безопасности. Исследователи показали, что устройства Nano S теоретически могли быть модифицированы до отправки, а также продемонстрировали атаки с обходом MCU bootloader, недостатками изоляции и подменой адресов сдачи (Bitcoin change). Ledger выпустил бюллетени безопасности и исправления; большинство сценариев считались исследовательскими и требовали физического доступа к устройству. — 2020 год: масштабная утечка клиентских данных. Злоумышленники воспользовались ключами стороннего API и уязвимостями, связанными с Shopify, получив доступ к базам e-commerce и маркетинга. Были раскрыты более 1 млн адресов электронной почты и порядка 272–292 тыс. детализированных записей (имена, адреса, телефоны). Аппаратные кошельки и приватные ключи не пострадали, но началась длительная волна фишинга, социальной инженерии и мошенничества с подделкой официальных сообщений. — декабрь 2023 года: атака на цепочку поставок Ledger Connect Kit. После фишинга бывшего сотрудника был скомпрометирован его аккаунт NPMJS, что позволило выпустить вредоносную версию Connect Kit. Код внедрялся в DApps, использующие библиотеку, и побуждал пользователей подписывать мошеннические транзакции. Окно атаки составило около двух часов, потери оцениваются в $480 тыс.–$600 тыс. Устройства Ledger и Ledger Live напрямую не были скомпрометированы. — январь 2026 года: утечка данных заказов у стороннего партнёра Globale. Несанкционированный доступ к системам платёжного и логистического провайдера раскрыл часть данных по заказам Ledger.com (имена, адреса, контакты). Системы Ledger и приватные ключи не затронуты, но фишинговые риски снова выросли. — апрель 2026 года: в App Store появились поддельные приложения Ledger Live. Они оставались доступными около недели и заставляли пользователей вводить seed-фразу; более 50 пострадавших потеряли около $9,5 млн в разных блокчейнах. Apple удалила приложения, а Ledger напомнил, что компания никогда не запрашивает 24-словную фразу восстановления. — август 2026 года: Ledger раскрыл уязвимости, связанные с подписью в Ethereum-приложении, включая interleaving команд, приводящий к несоответствию отображаемых данных и параметров подписи, а также обходы clear-signing. Для эксплуатации требовался вредоносный хост; на тот момент доказательств использования против пользователей не было. В новых версиях уязвимости закрыты. — 9 октября 2026 года: масштабное "опустошение" кошельков, связанное с дистрибьютором CryptoBilis, с оценкой потерь почти в $90 млн. Ledger проводит расследование и допускает целевую атаку на цепочку поставок или вмешательство в устройства в рамках одного канала дистрибуции. Продажи через него приостановлены, потенциально затронутым пользователям рекомендовано перевести активы.