Ledger повідомила про збитки майже на $90 млн через виведення коштів із гаманців, пов'язане з CryptoBilis

За даними Odaily Planet Daily, виробник апаратних гаманців Ledger знову зіткнувся з інцидентом безпеки: сторонні компанії з кібербезпеки оцінюють втрати майже в $90 млн. Компанія перевіряє відтік коштів, пов'язаний із пристроями, які реалізовував її авторизований дистриб'ютор у Південно-Східній Азії CryptoBilis. Ledger попросила дистриб'ютора негайно призупинити всі продажі та відвантаження. Користувачам, які придбали пристрої через цей канал протягом останніх 90 днів, рекомендують бути максимально обережними та, за можливості, перевести активи на інші адреси. Причину інциденту поки не підтверджено; серед основних версій — компрометація ланцюга постачання або втручання в пристрої. Ключові попередні інциденти навколо Ledger, пов'язані з атаками та/або втратами коштів: • 2018: дослідники безпеки виявляли вразливості ранніх апаратних рішень і сценарії атак у ланцюгу постачання. Зокрема, демонстрували можливість модифікації Nano S до відправлення, обходи MCU bootloader, проблеми ізоляції та ін'єкцію change-адреси Bitcoin. Ledger випустила бюлетені безпеки та впровадила виправлення; більшість кейсів мали дослідницький характер або потребували фізичного доступу до пристрою. • 2020: масштабний витік клієнтських даних. Зловмисники скористалися сторонніми API-ключами та вразливостями, пов'язаними зі Shopify, отримавши доступ до e-commerce і маркетингових баз. Було розкрито понад 1 млн email-адрес і приблизно 272 000–292 000 записів із даними клієнтів (імена, адреси, телефони). Апаратні гаманці та приватні ключі не постраждали, але інцидент спричинив тривалу хвилю фішингу, соціальної інженерії та шахрайства з підробкою офіційних повідомлень. • Грудень 2023: атака на ланцюг постачання Ledger Connect Kit. Після фішингу колишнього співробітника було скомпрометовано його обліковий запис NPMJS, що дозволило випустити шкідливу версію Connect Kit. Вона вставляла код у DApps, які використовували бібліотеку, та вводила користувачів в оману, спонукаючи підписувати транзакції для викрадення коштів. Вікно атаки тривало близько двох годин, втрати оцінювалися в $480 000–$600 000. Апаратні пристрої та сам Ledger Live напряму не були скомпрометовані. • Січень 2026: витік даних замовлень у стороннього партнера Globale. Несанкціонований доступ до систем платіжно-логістичного партнера розкрив частину інформації щодо замовлень Ledger.com (імена, адреси, контактні дані). Власні системи Ledger і приватні ключі не постраждали, але ризики фішингу знову зросли. • Квітень 2026: у App Store з'явився підробний застосунок Ledger Live, який виманював у користувачів seed-фрази. Фейкова програма була доступна близько тижня; збитки склали орієнтовно $9,5 млн, постраждало понад 50 жертв у кількох блокчейнах. Apple згодом видалила застосунок, а Ledger наголосила, що ніколи не запитує 24-словну seed-фразу. • Серпень 2026: Ledger повідомила про вразливості, пов'язані з підписанням у застосунку Ethereum, зокрема про проблеми на кшталт command interleaving, які могли розсинхронізувати відображувані дані та параметри підпису, а також обходи clear-signing. Для експлуатації була потрібна взаємодія зі шкідливим хостом. Компанія заявила, що доказів реальних зловживань немає, а в новіших версіях проблему усунуто. • 9 жовтня 2026: масштабне "викачування" коштів з гаманців у каналі дистриб'ютора CryptoBilis із оціненими втратами майже $90 млн. Ledger продовжує розслідування; попередньо йдеться про атаку через ланцюг постачання або втручання в пристрої, сфокусовану на одному каналі продажів. Компанія призупинила продажі та рекомендувала потенційно постраждалим користувачам мігрувати активи.