Ledger сообщил: скрытый имплант в некоторых кошельках, проданных реселлером CryptoBilis, считывал 24 слова восстановления при настройке и отправлял их злоумышленникам через LTE. По оценке ончейн-исследователей, пострадали более 300 кошельков, потери достигли $93,2 млн.

  • Чип распознавал фразу на экране устройства и передавал её через мобильную сеть с eSIM.
  • По словам Ledger, ПО, защищённый элемент, внутренние системы и подписание транзакций не были взломаны.
  • Ledger подтвердил один имплант; все подтверждённые потери в инциденте 9 октября связаны с устройствами CryptoBilis. Другие сообщения ещё проверяются.

Это атака на физическую цепочку поставок, а не взлом ПО Ledger. Но украденная seed-фраза позволяет вывести средства без самого устройства. Если покупали кошелёк у CryptoBilis или не уверены в его происхождении, считайте фразу скомпрометированной и переведите активы на новый кошелёк, созданный на доверенном устройстве. Не ждите новых подтверждений.