Bitquery оценила ущерб от атаки на пользователей Ledger в $93,2 млн
Аналитическая компания Bitquery насчитала $93,2 млн, выведенных из 315 криптокошельков на шести блокчейнах. Средства предположительно принадлежали пользователям Ledger, купившим устройства у реселлера CryptoBilis в Юго-Восточной Азии.
Это уточнение следует за первой оценкой исследователя под ником Specter, который 9 октября сообщил о возможной краже более $86 млн у обладателей Ledger. Bitquery изучила движение средств в сетях TRON, биткоин, Ethereum, BNB Chain, Polygon и Solana и обнаружила дополнительные транзакции, не вошедшие в первоначальные подсчеты.
Наибольший объем средств был выведен в сети TRON — около $70,5 млн. Еще примерно $16,8 млн пришлось на биткоин. Остальные суммы распределились:
- $3,7 млн — на Ethereum;
- $1,45 млн — на BNB Chain;
- $580 000 — на Polygon;
- $250 000 — на Solana.
При этом Bitquery считала только активы, которые непосредственно покинули кошельки жертв. В оценку не включались последующие обмены, перемещения между кошельками злоумышленника и операции по отмыванию средств. Компания использовала для расчетов котировки криптовалют на 9 октября.
В YFarmX сообщили о 530 пострадавших кошельках с общим ущербом в $103,4 млн.
Атака прошла сразу в нескольких сетях
По данным Bitquery, злоумышленник начал вывод средств 9 октября. В течение 47 минут он опустошил кошельки в шести блокчейнах. В сети биткоина 111 адресов были очищены в рамках одного блока, а на TRON 25 кошельков подписали одинаковое разрешение на перевод USDT в течение трех секунд.
После получения разрешений атакующий вывел около 29 млн USDT в течение нескольких секунд. Еще 30 кошельков в TRON незадолго до этого передали контроль над своими активами новому ключу. Позднее с них перевели около $5,8 млн.
Исследователи также обнаружили, что за две недели до атаки были проведены как минимум 21 тестовая операция в TRON и 20 — в Ethereum. В ходе этих транзакций хакер отправлял на небольшие кошельки средства для оплаты комиссий, запрашивал разрешение на перевод и возвращал активы обратно.
По мнению Bitquery, такая последовательность указывает на то, что один злоумышленник или автоматизированная система заранее получила доступ к ключам большого числа кошельков.
Ledger расследует инцидент
Ledger связала пострадавшие устройства с CryptoBilis — реселлером, который был указан в качестве авторизованного продавца компании в Индонезии, Малайзии и на Филиппинах. 9 октября производитель попросил CryptoBilis приостановить продажи и отправку устройств.
Покупателям, которые приобрели Ledger у этого продавца в течение последних 90 дней, компания рекомендовала не начинать настройку устройства. Пользователям, уже активировавшим кошелек, Ledger посоветовала рассмотреть перенос средств на другое устройство с новой сид-фразой.
Компания заявила, что ее собственная инфраструктура, системы и сервисы не были скомпрометированы. Также Ledger сообщила об отсутствии обращений по поводу устройств, купленных напрямую у производителя.
10 октября Ledger заявила, что нашла несанкционированный аппаратный имплант в устройстве одного из пострадавших пользователей. При этом компания пока не утверждает, что аналогичное вмешательство было обнаружено во всех устройствах, связанных с атакой.
Что известно об аппаратных имплантах
Дополнительный контекст предоставила исследовательская компания Tibane Labs. Она изучила два устройства Ledger Nano X с предполагаемыми аппаратными имплантами. По версии исследователей, такие компоненты могут перехватывать информацию, передаваемую между защищенным чипом и дисплеем устройства.
Речь идет о 24 словах сид-фразы, которые Ledger показывает пользователю во время первоначальной настройки. Согласно описанию Tibane Labs, имплант способен считать эти данные по сигналам дисплея и передать их злоумышленнику через встроенный сотовый модуль.
При этом исследователи не заявляли, что изученные устройства были проданы именно через CryptoBilis. Один Nano X был приобретен на японском Yahoo! Auctions, второй — у стороннего продавца на Amazon Japan; отправление последнего пришло из Малайзии. Прямая связь этих устройств с расследованием Ledger пока не установлена.
Tibane Labs также сообщила, что бывшие сооснователи CryptoBilis заявили о передаче бизнеса новым владельцам в марте 2026 года и отсутствии доступа к его системам после этого.
Часть украденных средств заморозили
Tether заблокировала 37 адресов, связанных с атакой. На 20 из них находились USDT на сумму около $10 млн. Однако заморозка не означает автоматический возврат средств пострадавшим.
Злоумышленник пытался скрыть движение активов через мосты и сервисы обмена, включая USDT0, Chainflip, Relay.link, HiFiSwap, NEAR Intents и THORChain. Около 2 990 ETH были проведены через миксер Tornado Cash и далее конвертировано с использованием Zcash.
Кроме того, около $14,9 млн было обменяно на USDD — стейблкоин, который Tether не может заморозить. Позднее часть этих средств конвертировали обратно в USDT и обменяли через THORChain на ETH.
Bitquery отмечает, что 11 октября на блокчейне все еще можно было отследить около $86 млн из похищенных средств. Однако злоумышленник продолжал перемещать активы, а часть USDC была выведена 11 и 12 октября — до возможной блокировки со стороны Circle.
Что делать владельцам Ledger
Пользователям, которые приобрели устройство через CryptoBilis, рекомендуется:
- не использовать неактивированный кошелек, купленный у этого продавца;
- перевести активы на другой кошелек с новой сид-фразой;
- не использовать Ledger, если 24 слова были заранее напечатаны или вложены в упаковку;
- проверить разрешения кошелька в блокчейн-эксплорере;
- попросить отправителей прекратить переводы на скомпрометированный адрес.
Bitquery отдельно предупреждает: если злоумышленник получил приватный ключ, он сможет забрать не только уже находящиеся на кошельке активы, но и любые средства, которые поступят на него позднее.
Причина компрометации всех кошельков пока не установлена. Подтвержденный аппаратный имплант выявлен только в одном устройстве, а ончейн-анализ показывает последствия атаки, но не позволяет определить, каким именно способом были получены ключи остальных пользователей.
Напомним, в сентябре потери криптоиндустрии от взломов превысили $768 млн, что стало худшим показателем с начала года, подсчитали в PeckShield