Ledger повідомила про інцидент безпеки із можливими втратами майже $90 млн, пов'язаний із дистриб'ютором CryptoBilis

За даними ChainCatcher, виробник апаратних гаманців Ledger зіткнувся з черговим інцидентом безпеки. Сторонні компанії з кібербезпеки оцінюють потенційні збитки майже у $90 млн. Ledger перевіряє фінансові втрати, пов'язані з пристроями, проданими через авторизованого дистриб'ютора в Південно-Східній Азії CryptoBilis. Компанія звернулася до партнера з вимогою негайно призупинити всі продажі та відвантаження. Користувачам, які придбали пристрої через цей канал протягом останніх 90 днів, рекомендують бути особливо обережними або перенести активи на інші гаманці. Першопричину інциденту ще не підтверджено. Попередньо розглядається версія компрометації ланцюга постачання або втручання в пристрої. Ключові інциденти та ризики, що раніше асоціювалися з Ledger: • 2018 рік: виявлення ранніх слабких місць у фізичній та ланцюговій безпеці. Дослідники демонстрували можливість модифікації Nano S до відправлення, а також експлойти на кшталт обходу bootloader MCU, помилки ізоляції та підміни "change"-адрес у Bitcoin. Ledger випустила бюлетені безпеки й оновлення; більшість сценаріїв вимагала фізичного доступу до пристрою. • 2020 рік: масштабний витік даних клієнтів. Зловмисники використали API-ключі третіх сторін і вразливості, пов'язані з Shopify, отримавши доступ до баз e-commerce та маркетингу. Було розкрито понад 1 млн email-адрес і приблизно 272'000–292'000 детальних записів із ПІБ, адресами та телефонами. Апаратні гаманці й приватні ключі не постраждали, але інцидент призвів до тривалої хвилі фішингу, соціальної інженерії та шахрайства з підробленими "офіційними" повідомленнями. • Грудень 2023 року: атака на ланцюг постачання Ledger Connect Kit. Після фішингу колишнього співробітника було скомпрометовано його обліковий запис NPMJS, що дозволило випустити шкідливу версію Connect Kit. Вона вбудовувала код у DApps, які використовували бібліотеку, змушуючи користувачів підписувати шахрайські транзакції. Вікно атаки тривало близько двох годин, збитки оцінювалися у $480'000–$600'000. Ні пристрої Ledger, ні Ledger Live безпосередньо не були скомпрометовані. • Січень 2026 року: витік даних замовлень у стороннього партнера Globale. Несанкціонований доступ до систем платіжного та логістичного провайдера відкрив частину деталей замовлень Ledger.com, зокрема імена, адреси та контактні дані. Системи Ledger і приватні ключі не постраждали, але фішингові ризики знову зросли. • Квітень 2026 року: поява підроблених застосунків Ledger Live в App Store. Фейкові додатки залишалися доступними приблизно тиждень і виманювали у користувачів seed-фразу. Понад 50 постраждалих втратили близько $9,5 млн у різних блокчейнах. Apple видалила застосунки, а Ledger наголосила, що ніколи не запитує 24-слівну фразу відновлення. • Серпень 2026 року: розкриття вразливостей у підписанні в Ethereum-додатку, зокрема через чергування команд із невідповідністю між тим, що відображається на екрані, і параметрами підпису, а також через обхід clear-signing. Для експлуатації був потрібен шкідливий хост; Ledger заявила, що на той момент не мала доказів реального використання, а проблеми усунули в новіших версіях. • 9 жовтня 2026 року: масштабне "вимивання" коштів з гаманців, пов'язане з каналом дистриб'ютора CryptoBilis. Оцінка втрат наближається до $90 млн. Ledger проводить розслідування та вважає, що йдеться про цільову атаку на ланцюг постачання або втручання в пристрої в межах одного каналу дистрибуції. Продажі через цей канал призупинено, користувачам із групи ризику рекомендують мігрувати активи.