Автор: Ada, TechFlow

Рано утром 21 января 2025 года в небольшом городке Меро в центре Франции.

Дэвида Баланда насильно выгнали из дома посреди ночи. Он — один из соучредителей криптовалютного аппаратного кошелька Ledger, компании, которая заявляет о хранении биткоинов на сумму 100 миллиардов долларов для пользователей по всему миру.

По данным французской газеты Le Monde, спустя 48 часов, когда французское элитное подразделение специального назначения GIGN ворвалось внутрь, у Баланды уже отсутствовал один палец.

Похитили отправили видеозапись отрезанного пальца еще одному соучредителю Ledger Эрику Ларшевеку с сообщением: принимаем только криптовалюту, не вызывайте полицию, не затягивайте процесс, иначе последствия на вашей совести.

Спустя год, Ledger объявила о планах проведения IPO на Нью-Йоркской фондовой бирже с оценкой свыше 4 миллиардов долларов. За ее плечами стоят самые громкие имена Уолл-стрит: Goldman Sachs, Jefferies, Barclays.

Это бизнес, связанный с «безопасностью».

Иронично?

Утечка адресов проживания

Давайте вернемся к 2020 году.

Летом того года неправильно настроенный API-эндпоинт позволил злоумышленникам беспрепятственно получить доступ к базе данных интернет-магазина Ledger. Было скомпрометировано более 1 миллиона адресов электронной почты. Что еще хуже, были одновременно раскрыты имена, номера телефонов и домашние адреса 272 тысяч клиентов.

Полгода спустя этот список оказался на хакерском форуме Raidforum и продавался по крайне низкой цене, предоставляя свободный доступ любому желающему.

Вы можете себе представить, что произошло дальше.

Фишинговые сообщения начали приходить одно за другим. Злоумышленники заманивали пользователей Ledger перейти по вредоносным ссылкам в надежде получить доступ к их криптовалюте через приватные ключи. Часть клиентов также получала письма, в которых утверждалось, что знают их имена и адреса, и угрожала явиться домой для кражи криптовалюты, если не будет выплачен выкуп.

Однако генеральный директор Ledger Паскаль Гостье заявил, что компания не будет компенсировать ущерб клиентам, чьи персональные данные (включая домашние адреса) были опубликованы на хакерских сайтах.

Этот инцидент нанёс Ledger значительные финансовые убытки. Однако настоящая цена заключается в пользователях, которые до сих пор живут в постоянном страхе.

Так чему же научился Ledger?

Трижды спотыкаясь об одну и ту же яму

14 декабря 2023 года снова произошел инцидент с Ledger.

Этот путь был еще более абсурдным: бывший сотрудник Ledger стал жертвой фишинговой атаки, благодаря чему злоумышленники получили доступ к его учетной записи NPMJS.

Никто не стал объяснять, сколько времени прошло с момента его увольнения, и почему бывший сотрудник все еще обладал правами доступа к критически важным системам.

Внутрь библиотеки Ledger Connect Kit, критически важной зависимости, на которую полагаются десятки DeFi-приложений, был внедрен вредоносный код. Интерфейсы SushiSwap, Zapper, Phantom, Balancer и других сервисов мгновенно превратились в фишинговые страницы.

Хотя Ledger удалось устранить проблему за 40 минут, 600 тысяч долларов уже были похищены.

В своем заявлении после инцидента генеральный директор Паскаль Гостье написал: «Это трагичное изолированное происшествие».

Изолированное?

И лишь за две недели до объявления плана IPO, 5 января 2026 года, произошла новая утечка данных. На этот раз причиной стали проблемы стороннего платежного провайдера Global-e, из-за чего имена и контакты клиентов вновь оказались в открытом доступе.

Шесть лет — три крупные утечки.

Каждый раз — «изолированное событие», каждый раз — «проблема третьей стороны», но каждый раз расплачиваются пользователи.  

Если бы традиционный финансовый институт три раза сталкивался с инцидентами безопасности за шесть лет, регулирующие органы давно бы отозвали у него лицензию. Однако в криптоиндустрии компания спокойно проводит IPO, а ее капитализация возрастает втри раза.

Recover: открытое предательство

Если утечку данных можно списать на случайность или небрежность, то Ledger Recover — это сознательное саморазрушение.

В мае 2023 года Ledger представила новую услугу: платя 9,99 доллара в месяц, пользователи могут зашифровать и разбить свою мнемоническую фразу на фрагменты для передачи на хранение трем компаниям: Ledger, Coincover и EscrowTech. Если пользователь забудет мнемоническую фразу, ему достаточно будет предоставить документ, удостоверяющий личность, чтобы восстановить доступ.

Для обычных пользователей, которые постоянно боятся потерять свои мнемонические фразы, это звучит действительно заботливо.

Но здесь есть фундаментальная проблема: разве весь принцип существования бизнеса аппаратных кошельков не строится на том, что «приватные ключи никогда не покидают устройство»?

Бывший генеральный директор Ledger Эрик Ларшевек позже на Reddit признался в тревожной детали: если пользователь подключает Recover, государственные органы по судебному постановлению могут обязать эти три компании передать им фрагменты ключей, что позволит им овладеть активами пользователя.

Сообщество взорвалось. В Твиттере даже появились фото пользователей, сжигающих устройства Ledger.

Глава информационной безопасности Polygon Мудит Гупта написал в Твиттере: «Что-либо защищенное «верификацией личности» по своей сути небезопасно, так как подделать ее слишком легко».

Основатель Binance Чжан Чанпэн также задался вопросом: «Разве теперь мнемонические фразы для холодных кошельков можно отделять от физического устройства?» и заявил, что это полностью противоречит идеалам, поддерживаемым крипто-сообществом.

Однако ответ Ledger был следующим: «Большинство крипто-пользователей сегодня продолжают хранить активы на биржах или в программных кошельках с ограниченной безопасностью, и для многих управление 24 словами мнемонической фразы само по себе является непреодолимой преградой. Это означает, что бумажные резервные копии становятся устаревшим решением».

Справедливо. Но когда стратегия роста компании требует от нее размывания собственных фундаментальных ценностей, всё становится куда сложнее.

Лояльная аудитория Ledger — это энтузиасты. Они внимательны к деталям, они громкие, они пишут длинные разоблачения на Reddit. Но они уже приобрели свои устройства, они не являются драйвером нового роста.

Рост идет от новичков. Новички боятся сложностей, новички готовы платить 9,99 долларов за спокойствие, им плевать на технические детали вроде «приватные ключи никогда не покидают устройство».

Но это не компромисс между безопасностью и удобством.

Это откровенное предательство своего основного пользовательского пула ради получения доступа к более широкому рынку ценой их доверия.

Физическое принуждение (Wrench Attack)

Давайте вернемся к отрезанному пальцу Дэвида Баланды.

В криптоиндустрии существует термин «wrench attack». Он означает, что никакая сложная криптография или децентрализованный протокол не спасут от человека с гаечным ключом, стоящего перед вами и требующего ваши приватные ключи.

Звучит почти черным юмором, словно шутка, придуманная программистами во время рисования моделей угроз на белой доске.

Но когда это происходит в реальности, это вовсе не смешно.

В декабре 2024 года была похищена жена бельгийского крипто-инфлюенсера Стефана Винкеля. В мае 2025 года у отца другого криптомиллионера отрезали палец. Дело Баланды — лишь часть большой тенденции.

Французский эксперт по внутренней безопасности сказал в интервью: «Методы исполнения этих дел идентичны. Нужно проверить, одна ли это группировка, но ясно одно: эта индустрия стала охотничьим угодьем для профессиональных похитителей».

Проблема в другом: откуда взялись списки потенциальных жертв?

270 тысяч домашних адресов из 2020 года до сих пор циркулируют в даркнете. Это не обычная утечка базы данных. Это список адресов с меткой «у владельца есть криптовалюта», причем объем активов можно примерно оценить по модели купленного Ledger. Тот, кто купил самую дорогую модель, вероятно, владеет и наибольшим количеством монет.

В каком-то смысле история Баланды — это плоды, посеянные самим Ledger.

Возможно, это сказано слишком жестко, ведь Ledger не передавал данные похитителям добровольно. Но когда компания, чей главный аргумент продажи — «безопасность», не может защитить даже домашние адреса своих клиентов, ей трудно говорить о своей полной невиновности без сомнений.

Логика в 4 миллиарда долларов

Мы рассмотрели множество негативных моментов, теперь давайте поговорим о том, почему Уолл-стрит все еще готова поддерживать Ledger.

Ответ состоит из одного слова: FTX.

В ноябре 2022 года биржа FTX обвалилась, нивелировав оценку в 32 миллиарда долларов за одну ночь. Средства сотен тысяч пользователей зависли в этой финансовой пропасти, и до сих пор не возвращены.

Избитый лозунг «Your keys, your coins; not your keys, not your coins» внезапно стал жестоким уроком реальности.

Однако после этого спроса на аппаратные кошельки резко возрос, и Ledger осталась единственным игроком на рынке с подлинной узнаваемостью бренда. По данным аналитиков BSCN, ее доля на рынке составляет от 50% до 70%. Ledger утверждает, что управляет биткоинами на сумму 100 миллиардов долларов, что эквивалентно 5% от мировой капитализации всей сети.

Но самое важное здесь — это своевременность.

В 2025 году криптокомпании привлекли 3,4 миллиарда долларов через IPO. Circle и Bullish каждая собрала более 1 миллиарда. BitGo только что стала первой публичной крипто-компанией в 2026 году. Kraken стоит в очереди с оценкой в 20 миллиардов долларов.

Это настоящий пир для выхода инвесторов, и Ledger не собиралась упускать шанс.

Основатели стремятся забрать прибыль, венчурные фонды готовят выход, а вторичный рынок, подпитываемый бурным ростом биткоина, охотно покупает любые акции с маркировкой «crypto».

Согласно данным «Market Growth Report», объем мирового рынка аппаратных криптовалютных кошельков в 2026 году составит 914 миллионов долларов, и, как ожидается, достигнет примерно 12,7 миллиарда долларов к 2035 году, среднегодовой темп роста в прогнозном периоде составит 33,7%. Если скорость распространения аппаратных кошельков ускорится (что подтверждается интересом к биткоин-ETF и институциональным инвесторам), Ledger сможет воспользоваться этой возможностью роста и занять выгодные позиции.

Оценка в 4 миллиарда долларов базируется на нарративе об «инфраструктуре криптохранения». Инвесторы приобретают бумаги не простой аппаратной компании, а единственного в индустрии игрок с узнаваемым брендом «цифровой хранилища».

Иными словами, оценка строится на сторителлинге, а не на реальных бизнес-метриках.

Реальность вне графиков

Конечно, проблема нарратива в том, что он может измениться в любой момент.

Посмотрите на те крипто-компании, вышедшие на IPO в 2025 году, и оцените динамику акций за последние полгода?

Circle: с максимальных 298 долларов упала до 69.

Bullish: с 118 долларов снизилась до 34.

BitGo выросла на 25% в первый день листинга, но уже через три дня сбросила всю прибыль обратно.

Такова судьба крипто-акций: они двигаются синхронно с биткоином, а не имеют отношения к фундаментальным показателям.

Сооснователь и операционный директор модульного оракла Redstone Марцин Казмерчак отметил в интервью, что, вопреки сохраняющейся неопределенности на рынке, нормативно-правовая среда по-прежнему работает в пользу Ledger.

Он добавил, что доходы Ledger по-прежнему зависят от циклов потребительского оборудования, предупредив, что «еще один длительный медвежий рынок точно скажется на этом, мы видели это в 2022 году», но также указал, что IPO может извлечь выгоду из «институционального цикла, который сильнее, чем просто розничный ажиотаж».

Выживает сильнейший

История IPO Ledger — это зеркало криптоиндустрии.

Компания, построенная вокруг главного аргумента «безопасность», сама имеет наибольшие риски именно из-за вопросов безопасности.

Ее продукт, обещающий полный контроль над приватными ключами пользователем, породил службу, позволяющую третьим лицам хранить фрагменты ключей.

Команда, один из основателей которой потерял палец, планирует вывести компанию на более публичные и прозрачные рынки капитала.

Есть ли здесь противоречие?

Безусловно.

Но правило выживания в криптомире всегда заключалось не в устранении противоречий, а в жизни с ними.

Утечка данных 2020 года не уничтожила Ledger, атака на цепочку поставок 2023 года нет, скандал вокруг Recover нет, похищение сооснователя нет.

Она не только продолжает существовать, но и выходит на публичный рынок.

Возможно, вот она, самая глубокая аллегория криптоиндустрии:

В мире, где не защищены даже пальцы основателей компании, ничего по-настоящему безопасного не существует.

Но деньги всегда находят свой путь.

Те компании, что остаются стоять среди руин, часто становятся лидерами следующего цикла.

Станет ли Ledger одной из них, нам покажет время.

Или же следующей утечкой.