23 окт. 2026

В кошельках Ledger из немецкой сети MediaMarkt нашли шпионские платы для кражи сид-фраз

В криптокошельках Ledger, проданных через крупную европейскую сеть электроники MediaMarkt, обнаружены аппаратные закладки. Ранее производитель утверждал, что проблема ограничена одним реселлером в Юго-Восточной Азии, но теперь бэкдоры найдены в устройствах, купленных в Германии.

Пользователь под ником Johannes сообщил, что приобрёл два кошелька Ledger Nano X в разных магазинах MediaMarkt в августе и октябре. Внутри обоих устройств он нашёл дополнительные платы, которых в оригинальной конструкции быть не должно. Сотрудник магазина заверил его, что это новые устройства, а возвраты отправляются обратно производителю, а не перепродаются. Johannes считает это признаком компрометации цепочки поставок Ledger, а не единичным инцидентом.

Сеть MediaMarkt насчитывает более тысячи магазинов в десяти европейских странах и признана авторизованным реселлером Ledger в Австрии, Германии, Испании и Турции. Помимо Nano X, пользователи и исследователи начали сообщать о закладках в новых линейках устройств - Ledger Flex и Ledger Stax.

Ранее, 10 октября, Ledger объявила, что бэкдор в кошельках, проданных малайзийским реселлером CryptoBilis, позволил украсть около 102 миллионов долларов в криптовалюте. По данным Bitquery, средства вывели примерно из 315 аккаунтов. Среди похищенного - Bitcoin, Ethereum, Tron и другие активы. Часть средств заморожена на счетах получателей, часть ушла на адреса, уже помеченные как подозрительные.

Ledger заявила, что признаки компрометации её собственных систем и сервисов пока не обнаружены. Компания предположила, что источником проблемы может быть закупка кошельков авторизованными реселлерами у сторонних поставщиков или перепродажа возвращённых устройств после их заражения. CryptoBilis приостановила продажи и отгрузку устройств на время расследования.

История с закладками тянется с начала года. Известный исследователь оборудования Джо Грэнд ещё в марте уведомил Ledger о бэкдорах в кошельках Nano X, купленных у онлайн-продавцов в Таиланде. Закладка представляла собой дополнительную плату с модулем LTE, антенной и eSIM. Она перехватывала сид-фразу - секретный набор слов для восстановления доступа к криптоаккаунту - и отправляла её злоумышленникам через ближайшую сотовую вышку.

Позже Марк Карпелес, бывший CEO биржи Mt. Gox, приобрёл два кошелька и обнаружил в них более совершенные версии закладки. В раннем варианте использовались припаянные вручную провода, которые легко заметить при вскрытии корпуса. В новой версии применена гибкая печатная плата, наложенная поверх оригинальной и припаянная в нужных точках. Чтобы освободить место, злоумышленники заменили аккумулятор на более мелкий.

Самый продвинутый экземпляр, найденный Карпелесом, внешне почти не отличался от немодифицированного устройства. Оранжевую плату сделали чёрной под цвет оригинала, маркировку стёрли, а оригинальный аккумулятор оставили на месте. Единственным заметным признаком была тонкая чёрная антенна по верхнему краю платы. На неё нанесли маркировку AC-A2016-NANO-V1.1, что указывает на специально спроектированный компонент для массового заражения кошельков.

Грэнд отмечает, что злоумышленники сменили тактику: если раньше закладки находили в устройствах от неавторизованных продавцов, то теперь мишенью стали официальные реселлеры. Это позволяет шире распространять заражённые устройства и пользоваться доверием покупателей, которые следовали рекомендациям производителя приобретать кошельки только у проверенных продавцов.

В кошельках Ledger из немецкой сети MediaMarkt нашли шпионские платы для кражи сид-фраз

Читайте также