Уязвимость аппаратных кошельков Ledger через вредоносные импланты

😈 Ledger, импланты и конец сказки про доверие В криптосообществе годами звучал один главный совет: «Not your keys, not your coins». То есть купи аппаратный кошелек (холодный), спрячь/выучи seed-фразу и спи спокойно. Никто не доберетс до твоих денег. У меня на канале был небольшой гайд о том, как вообще холодные кошельки укладываются в информированное законодательство РФ по крипте. Вполне себе укладываются. Кажется, что сейчас эта конструкция трещит по швам. Ledger подтвердили, что до сих пор не знают реальных масштабов ущерба. Да, все случаи потери средств в основном шли через одного реселлера железяк (CryptoBilis), но проверку остальных сообщений продолжает. Общую сумму и точное число пострадавших не называют. Как это работает и что случилось? Механика атаки простая (и неприятная). В устройство ставят скрытый модуль: вторая плата за экраном, уменьшенная батарея, чип, антенна, eSIM и модем. Имплант не трогает защищенный чип Secure Element. Он просто считывает 24 слова seed-фразы с экрана в момент, когда вы их видите при настройке, и отправляет злоумышленникам по мобильной сети 😜 При этом устройство проходит все штатные проверки подлинности (оно так-то настоящее) Особенно раздражает, что об угрозе (типе атаки) было известно давно. Еще в августе 2025 года человек в Таиланде разобрал дешевый Nano X и нашел внутри лишнюю электронику. Потом аппаратный хакер Джо Гранд подробно разобрал инцидент и в марте 2026-го он уведомил Ledger... и выяснилось, что компании об этой угрозе уже было известно. Публичные материалы вышли весной, на конференции доклад был в мае. К сентябрю исследователи находили уже более компактные и незаметные поколения имплантов. То есть публично об угрозе говорили больше года. Компания имела детальную информацию как минимум за несколько месяцев до массовых краж. Ledger говорит: системы не скомпрометированы, покупайте только у производителя или авторизованных реселлеров. Проблема в том, что один из реселлеров, через которого шли проблемные устройства, как раз висел на официальном сайте как авторизованный. Аппаратный (холодный) кошелек продавали как устройство, при использовании которого не нужно никому доверять (ну кроме себя 😁) Сегодня приходится доверять заводу, логистике, реселлеру, магазину и тому, кто упаковывал коробку. Весь путь от производства до ваших рук - черный ящик. Конечно не каждый Ledger заминирован. Но если история продолжится в том же духе, вся идея холодных кошельков как абсолютной гарантии безопасности окажется под большим вопросом. Не потому что чип/идея плохие. А потому что доверие к цепочке поставок прошивкой не починишь. Как вы теперь смотрите на аппаратные кошельки после этой истории?