Ledger проверяет потери клиентов CryptoBilis, аналитики оценивают их в $86 млн

Компания расследует сообщения о пропаже криптовалюты у этих клиентов и попросила продавца приостановить продажи и отправку устройств Ledger. Размер потерь и причина произошедшего пока не установлены.

Предупреждение Ledger касается тех, кто купил устройство у CryptoBilis за последние 90 дней. Если кошелёк ещё не настроен, компания рекомендует не начинать настройку. Если он уже используется, Ledger советует перевести активы на новое устройство и создать новую фразу восстановления. Она даёт доступ к кошельку, поэтому одной смены устройства недостаточно.

CryptoBilis указан на странице продавцов Ledger для Индонезии, Малайзии и Филиппин. Ledger попросила его остановить продажи и поставки на время проверки, но не обвинила продавца в изменении устройств. Компания не назвала затронутые модели и не сообщила, вскрывали ли устройства или подменяли. По имеющимся у Ledger сведениям, сообщения о пропаже средств относятся к устройствам, проданным через CryptoBilis. Признаков взлома собственных систем, сервисов или инфраструктуры безопасности компания не обнаружила.

Потери клиентов CryptoBilis: оценки аналитиков

Оценки аналитиков расходятся, и Ledger не подтвердила ни одну из них. Исследователь под псевдонимом Specter сообщил о поступлениях с сотен кошельков пострадавших на адреса в сетях Bitcoin, Ethereum и Tron. Он оценил потери более чем в $86 млн (около 7,3 млрд ₽). Другой исследователь, tanuki42, назвал сумму свыше $72 млн (около 6,1 млрд ₽), а компания MistTrack — почти $90 млн (около 7,6 млрд ₽). Точное число затронутых кошельков также не установлено.

Аналитическая платформа Arkham пометила группу из 152 адресов как связанную с этим случаем. На момент одного из подсчётов на них оставалось около $71,6 млн (около 6,1 млрд ₽). Среди активов были Ether, Bitcoin и стейблкоины USDD и USDT. Остаток на отмеченных адресах не равен окончательной сумме потерь: часть средств могла уйти на другие адреса, а долларовая стоимость криптовалют меняется вместе с курсом.

По данным MistTrack, эмитент стейблкоина USDT Tether заморозил средства на адресах, связанных с предполагаемыми хищениями. Сумму блокировки не сообщили. Сервис Onchain Lens также сообщил о переводе 430,2 ETH стоимостью примерно $1,07 млн (около 91 млн ₽) в Tornado Cash через четыре кошелька. Эти данные не объясняют, как посторонние получили доступ к средствам.

Версия о плате внутри кошелька

Бывший руководитель криптобиржи Mt. Gox Марк Карпелес опубликовал фотографии устройства Ledger, которое, по его словам, получил из Малайзии. Внутри он обнаружил дополнительную плату, спрятанную на месте прокладки экрана. Карпелес также описал провод антенны и модуль LTE с eSIM. По его версии, плата считывает фразу восстановления, показанную при настройке, и передаёт её через мобильную сеть.

Карпелес утверждает, что плата может отслеживать обновление экрана, не вмешиваясь в работу защищённого элемента устройства. Поэтому проверка подлинности кошелька может не выявить постороннюю электронику. Он также отметил, что упаковочная плёнка на его экземпляре выглядела целой. Карпелес не сообщил, покупал ли кошелёк у CryptoBilis; связь найденной им платы с потерями клиентов Ledger не доказана.

Фразу восстановления могут украсть и без изменения устройства. Исследователи безопасности предупреждают о поддельных приложениях и сайтах, которые выманивают её у владельцев кошельков. Специалист Тейлор Монахан предостерегла от фишинговых ссылок и фальшивой рекламы, на которые можно попасть при поспешном переводе средств. Ни Ledger, ни аналитики не подтвердили, что все потери произошли одним способом.

В этом году у клиентов Ledger уже были другие инциденты безопасности. В январе компания сообщила об утечке имён и контактных данных покупателей через платёжного партнёра Global-e; тогда криптовалюта не пропала. В апреле музыкант потерял около $424 000 (около 36 млн ₽) в биткоинах после загрузки поддельного приложения Ledger Live из Mac App Store. Связь этих случаев с нынешним расследованием Ledger не установлена.