Шпионски чип в Ledger портфейли краде тайните думи — компанията разширява спирането на продажби
Шпионски чип, добавен във физически манипулирани Ledger устройства, е прихващал 24-те думи за възстановяване на портфейла и ги е изпращал през мобилна мрежа. След разкритията компанията е поискала търговци и дистрибутори в шест държави от Югоизточна Азия и Хонконг временно да спрат продажбите и да свалят устройствата от рафтовете.
Мярката обхваща Индонезия, Сингапур, Тайланд, Филипините, Виетнам, Малайзия и Хонконг. Официалните уточнения са от 13 октомври 2026 г., с последващо медийно отразяване на 14 октомври.
Разследването започна след съобщения за откраднати криптоактиви от потребители, купили устройства чрез CryptoBilis. Последващият анализ обяснява как нападателите са могли да получат достъп до средствата, без да разбиват защитния чип на Ledger.
Как работи шпионският чип в Ledger
Според техническото обяснение на Ledger Donjon добавеният компонент разпознава екраните, на които при първоначалната настройка се показва recovery фразата. Микроконтролер декодира думите и ги предава чрез LTE връзка с вградена eSIM.
По информация на компанията имплантът не променя защитния Secure Element, операционната система, трансакциите или подписите. Атаката е насочена към момента, в който чувствителната информация трябва да бъде показана на собственика.
Защо 24-те думи дават достъп до средствата
Recovery фразата позволява възстановяване на портфейла върху друго съвместимо устройство. Ако нападателят я получи, физическият достъп до оригиналния Ledger вече не е необходим.
Средствата се намират в блокчейна, а устройството пази ключовете, чрез които се управляват. Затова откраднатата recovery фраза може да позволи преместване на активите без използване на оригиналния портфейл.
Защо проверката за автентичност може да не открие манипулацията
Една от най-важните подробности е, че устройството може да съдържа оригинален защитен чип и въпреки това да е физически манипулирано.
В собствената си техническа документация Ledger Donjon посочва, че Genuine Check не може да открива неразрешени физически промени, включително шпионски импланти, когато оригиналният Secure Element е непокътнат.
Проверката удостоверява автентичността на защитния компонент. Тя не доказва цялата история на устройството при производство, складиране, доставка и препродажба. Това ограничение е съществено за разбирането на случая.
Има ли засегнати Ledger устройства в Европа
MediaMarkt Saturn също е спряла продажбите на Ledger в магазини и онлайн след сигнал от клиент в Германия за открит имплант. Според отразеното съобщение на Ledger по този германски случай не е докладвана загуба на средства.
Компанията разграничава сигналите за подозрителни устройства от потвърдените кражби. Към разглежданите съобщения всички потвърдени загуби остават свързани с покупки чрез CryptoBilis. Сигналите от други търговци продължават да се проверяват.
Няма основание да се твърди, че всеки Ledger е компрометиран или че всички покупки от европейски магазини са засегнати. Компанията съобщава, че няма индикации за компрометиране на собствените ѝ системи, услуги или директен канал за продажби.
Какво да направят потребителите
При неизползвано устройство от CryptoBilis
Препоръката на Ledger е да не се започва първоначалната настройка. Именно при показването на recovery фразата описаният имплант може да прихване чувствителната информация.
При вече използвано устройство от CryptoBilis
Компанията препоръчва преместване на активите към ново устройство с новогенерирана recovery фраза.
Разликата е решаваща: въвеждането на старите 24 думи в ново устройство възстановява същите ключове. Ако думите са откраднати, това не премахва достъпа на нападателя. При компрометирана фраза официалните указания на Ledger предвиждат прехвърляне към портфейл, създаден с различна фраза.
При съмнения за манипулиран портфейл
Потребителите трябва да потърсят официалната поддръжка, като запазят документите за покупката. Recovery фразата не трябва да се изпраща на „служител“, сайт за проверка или човек, обещаващ възстановяване на откраднатото.
Ledger изрично заявява, че никога няма да поиска 24-те думи за възстановяване.
Какво остава неизвестно по разследването
Все още не са окончателно установени пълният брой манипулирани устройства, моментът на намесата във веригата за доставка и общият размер на загубите. Публикуваните суми са оценки на външни анализатори, а не окончателна равносметка на Ledger.
Следващите важни резултати са установяването на засегнатите доставки и конкретните мерки, с които производителят и търговците ще предотвратяват подобна физическа намеса.
