Если Ledger, купленный в официальном магазине в аэропорту Сингапура, содержит систему слежения, остаются ли ваши криптоактивы в безопасности?

Автор: Дэвид, TechFlow

В Сингапуре, славящемся жестким контролем безопасности, если вы зайдете в премиальный отдел электроники в аэропорту Чанги и заплатите полную стоимость нераспечатанного оригинального аппаратного кошелька Ledger, возможно ли, что ваши криптовалютные активы все равно останутся украденными?

Ответ — да.

Более того, в ту самую секунду, как вы запишете свою 24-словную мнемоническую фразу, средства напрямую переместятся через скрытую сеть прямо в карман хакера.

Согласно последнему сообщению полиции Сингапура, начиная с 10 сентября на месте подтверждены как минимум два случая краж из-за покупки поддельных кошельков Ledger, ущерб составил около 2,7 млн долларов США.

А бывший генеральный директор Mt.Gox Марк Карпелес также опубликовал в социальных сетях записи о физическом разборе кошелька, восстановив, как эта маскировка была случайно раскрыта.

Изначально криптопользователь Бен Йорк купил совершенно новый аппаратный кошелек Ledger Flex в розничном магазине электроники Metapod в аэропорту Чанги за 300 долларов США.

Перед подачей питания он обратил внимание на подозрительные физические царапины на корпусе устройства, поэтому решительно отказался от включения и сразу отправил его Карпелесу для экспертизы.

Последующая аппаратная разборка подтвердила самые худшие опасения:

Дорогой оригинал, экспонируемый в премиальной витрине аэропорта, изнутри был насильно оснащён шпионской платой. Это доказывает, что «отравленные кошельки» давно вышли за рамки серого рынка б/у товаров на площадке Xianyu или в Telegram, и напрямую просочились на законные полки крупных местных физических ретейлеров.

Полное повторение инцидента с поставщиком Ledger в Малайзии

Этот кризис не является единичным случаем, это злобное распространение масштабной операции по отравлению цепочки поставок, сумма ущерба по которой близка к ста миллионам долларов.

Прежде чем эта партия модифицированных устройств поступила в топовые торговые центры Сингапура, подобная схема уже принесла первую волну массового обмана в Малайзии.

Малайзийская компания CryptoBilis с 2022 года являлась официально авторизованным дистрибьютором Ledger в Юго-Восточной Азии. Весной этого года основатель магазина незаметно продал интернет-магазин. Новый владелец продолжил работать под вывеской «Официальная авторизация» и отгружать заказы, однако внутри всех поставляемых устройств внутренние компоненты были полностью заменены.

По оценкам ончейн-данных, одно только загрязнение цепочки поставок через узел CryptoBilis привело к масштабным кражам на сумму от 86 до 93 млн долларов США.

Логика криминальной схемы предельно ясна: поскольку взломать встроенные на базовом уровне защищённые чипы военного класса в Ledger чрезвычайно сложно, преступники просто обходят их, атакуя уязвимое место — логистические и дистрибуционные сети.

Эта отработанная производственная линия по отравлению товаров закупает партии оригиналов, вскрывает корпуса, устанавливает под экран микроконтроллер вместе с модулем связи LTE/eSIM, затем повторно запечатывает их и смешивает с легальной сетью дистрибуции.

Когда вы включаете устройство и на экране появляются 24 слова мнемонической фразы, этот миниатюрный считыватель физически захватывает изображение с экрана и напрямую передаёт их через встроенную сотовую сеть.

Поскольку базовый криптографический чип остаётся неповреждённым, система «Проверки подлинности (Genuine Check)» официального ПО Ledger при тестировании такого аппаратного обхода автоматически проходит проверку без ошибок.

ПО сообщает вам, что устройство безопасно, но ваши ключевые данные уже полностью раскрыты.

От онлайн-официальных реселлеров в Малайзии до оффлайн-магазинов в Сингапуре: высокая проникающая способность этой криминальной сети ставит под серьёзную угрозу ранее считавшуюся абсолютной безопасность аппаратных кошельков.

То, что может защитить криптография, оказывается бессильным в реальном физическом мире. Самое слабое звено в цепи безопасности криптокошелька — это всего лишь информатор на логистическом складе или подкупленный дистрибьютор.

В настоящее время компания Ledger уже экстренно приостановила поставки через дистрибьюторов в ряде стран Юго-Восточной Азии и Гонконге. Тем не менее для рядовых пользователей криптовалют границы доверия к аппаратным кошелькам были полностью пересмотрены.

Главным правилом выживания сейчас является полный отказ от веры в «легальные розничные магазины» и «официальных авторизованных партнёров».

Если вы недавно приобрели устройство не через официальный канал прямой доставки Ledger, ни в коем случае не включайте его для первичной настройки, какими бы правдоподобными ни выглядели защитные наклейки на упаковке и насколько бы безупречно ни проходила проверка при подключении к ПК.

А если вы уже перевели средства в устройство, купленное через подобные каналы, немедленно найдите абсолютно чистое новое устройство, сгенерируйте новую мнемоническую фразу и выполните полный перевод активов.