Ledger Nano X став жертвою витонченої атаки на ланцюжок поставок через модифікацію заліза. Джерело: Ledger / AI
Купівля апаратного гаманця у «офіційного реселлера» мала б додавати спокою, але в реальності 2026 року це стало квитком у чергу пограбованих. Власники Ledger Nano X, які вирішили зекономити на доставці або просто довірилися посередникам у Південно-Східній Азії, виявили свої рахунки порожніми. Збитки вже перевищили 93 млн $ (близько 4.2 млрд грн), і це лише початок розслідування.
LTE-модем усередині гаманця
Технічна витонченість атаки вражає: зловмисники не просто зламали софт, вони фізично модифікували пристрої. Усередині «заражених» Ledger Nano X дослідники знайшли шпигунські модулі з підтримкою LTE та eSIM. Ці «імпланти» перехоплювали натискання кнопок і дані з екрана, відправляючи їх хакерам через мобільну мережу. Марк Карпелес, який брав участь у розслідуванні, уточнив, що плата перехоплювала фрази відновлення через SPI-шину дисплея.
JUST IN: UP CLOSE VIDEO SHOWS HOW HACKERS STOLE OVER $80,000,000 SILENTLY CORRUPTING LEDGER #BITCOIN WALLETS A SCAM SHOP IN MALAYSIA WAS LISTED AS AN "OFFICIAL AUTHORIZED RESELLER FOR YEARS" BEHIND THE SCENES, CRIMINALS WERE INSERTING MICROSCOPIC SPY CHIPS ON EVERY WALLET THEY REPACKAGED THE DEVICE AND SHIPPED IT TO UNSUSPECTING VICTIMS ALL THE WHILE IT WAS SILENTLY CAPTURING THEIR PRIVATE KEYS THIS IS WILD ‼️
— The Bitcoin Historian (@pete_rizzo_) October 11, 2026
Щоб запхати шпигунське залізо в компактний корпус, зловмисники діяли двома способами. В одному варіанті оригінальну батарею замінили на меншу, щоб звільнити місце під антену та мікроконтролер. У другому — «жучок» примудрилися сховати прямо під OLED-екраном, живлячи його від штатного акумулятора. Видати таку підробку може хіба що наявність пласкої LTE-антени, якої немає в оригіналі, але хто з пересічних користувачів заглядає під капот пристрою за 82.5 євро (близько 4150 грн)?
Чому мовчав захист?
Найгірше те, що фірмова функція «Genuine Check», яка має підтверджувати оригінальність гаманця, виявилася безсилою. Оскільки вбудований захищений елемент Secure Element залишався недоторканим, перевірка успішно проходила, підтверджуючи «справжність» пристрою. Це критична вразливість, адже навіть конкуренти на кшталт Trezor Safe 3 використовують чипи стандарту EAL6+ саме для захисту від фізичного втручання.
UPDATE: I can confirm that the Ledger supply chain is compromised in Europe as well. @Ledger should initiate an immediate product recall to protect users. I just purchased a second device from a different Mediamarkt location today, recorded the unboxing process, and discovered spyware once again (video linked in the second tweet). The device was compromised in the exact same manner, featuring identical modifications (such as additional cables and an LTE module). This indicates its a widespread issue rather than an isolated incident, potentially affecting Ledger inventory across MediaMarkt and Saturn stores throughout Europe (comprising over 1,000 stores across 11 countries). My initial hypothesis was that these devices were returns that looked unopened to the employees and were just sold again as new however, a MediaMarkt employee confirmed that the device I purchased was not a return, and that returned Ledgers are sent directly back to the manufacturer rather than resold. Store records show the inventory originated from Aqipa GmbH. While Ledger's CTO was unsure if Aqipa serves as the direct distributor between Ledger and MediaMarkt, it appears to be the case. Given that Aqipa distributes across Europe, any physical retail store receiving stock through them may be at risk. I sent the first ledger to mark and the second one is going to ledger now, so that they can analyse it. If you purchased a ledger from anyone other than the official ledger store, make sure to check your device!!
— Johannes (4, 4) (@0xJohannes_) October 12, 2026
Це вже не перший випадок проблем з безпекою бренду: у 2023 році Ledger вже мала інцидент з атакою на ланцюжок поставок Connect Kit, хоча тоді масштаби були скромнішими — близько 600 000$. За попередніми даними, за нинішнім зломом стоїть малайзійський реселлер CryptoBillis. Хоча Ledger уже попросила зупинити продажі, аналітики Bitquery вважають, що загальні збитки можуть сягати 102 млн $ (приблизно 4.6 млрд грн), зачепивши понад 300 гаманців. Поки триває розслідування, порада залишається незмінною: купуйте криптогаджети тільки напряму у виробника.