Ledger подтвердила наличие импланта CryptoBilis; другие покупатели кошельков требуют разъяснений

Основатель и генеральный директор OneKey Иши Ван объявил, что «дилерская сеть производителя аппаратных кошельков значительно сократится» после полной проверки ранее сертифицированных дилеров, при этом тем, у кого «неподтвержденные операционные структуры или неясные конечные бенефициары», будет отозвана авторизация и они будут удалены с официального сайта.”

Иши также сообщил, что OneKey отозвала авторизацию у CryptoBilis в качестве дилера по продаже своих устройств.

Это предупреждение прозвучало после того, как один из кошельков Ledger, проданных юго-восточноазиатским реселлером CryptoBilis, оказался оснащенным несанкционированным аппаратным вмешательством, а расследование кражи криптовалюты продолжается; объем потерь сейчас оценивается от 86 до 93 миллионов долларов.

Что компания Ledger заявила о взломе кошелька CryptoBilis?

Обновление от 10 октября, опубликованное на странице поддержки Ledger, подтвердило, что до завершения расследования CryptoBilis не будет продавать продукцию производителя аппаратных кошельков. Это заявление последовало за тем, как Ledger заявил, что по крайней мере «на устройстве одного из пострадавших пользователей было обнаружено несанкционированное аппаратное вложение».

Ledger подчеркнул что его собственные системы и каналы прямых продаж остались нетронутыми, указав, что все скомпрометированные устройства были связаны с CryptoBilis.

Ledger рекомендует всем, кто приобрел кошельки у юго-восточноазиатского реселлера, не инициализировать те устройства, которые еще не были настроены. Тем же, кто уже активировал свои кошельки, рекомендуется перевести средства на кошельки, выпущенные непосредственно компанией Ledger, а не приобретенные через реселлеров.

На данный момент специалисты по кибербезопасности оценивают, что около 300 кошельков Ledger были обескровлены на сумму от 86 до 93 миллионов долларов.

Почему покупатели OneKey и SafePal испытывают тревогу

Хотя пока только кошельки Ledger сообщали о кражах, инцидент вызвал беспокойство среди клиентов других производителей кошельков. CryptoBilis позиционирует себя являясь авторизованным реселлером Ledger, Trezor, OneKey, Tangem, SafePal, imKey и других кошельков в Малайзии, а также работающим в Индонезии и на Филиппинах.

Основатель OneKey и генеральный директор Иши Ван выступил с заявлением, чтобы успокоить панику в X, написав: «Мы аннулировали авторизацию CryptoBilis; больше он не является авторизованным дилером OneKey.”

Иши также подробно описал трехэтапный план действий OneKey по снижению рисков сейчас и предотвращению дальнейшего эскалации.

• Шаг первый: OneKey прекратила добавлять новых дилеров, начиная с заявления от 12 октября.
• Шаг второй: Все существующие дилеры, включая ранее сертифицированных, пройдут новую процедуру проверки. Дилеры с «неподтвержденными операционными структурами или неясными конечными бенефициарами» потеряют свою авторизацию. Полный список авторизованных дилеров будет опубликован на официальном сайте OneKey.
• Шаг третий: Пользователи, купившие устройства OneKey у CryptoBilis в период с 1 марта 2026 года по 12 октября, имеют право на бесплатную замену. Даже пользователи, которые активировали или уже использовали свои устройства, могут получить бесплатную замену.

По словам И Ши, OneKey выбрала дату 1 марта, поскольку один из основателей CryptoBilis публично заявил, что компания завершила передачу операционного управления в марте после того, как была приобретена ранее в этом году.

Единственный задокументированный уязвимости в оборудовании OneKey произошла ещё в 2023 году, когда компания по кибербезопасности Unciphered извлекла seed-фразу устройства в ходе лабораторной атаки. OneKey исправила уязвимость, выплатила вознаграждение и заявила, что пользователи не пострадали.

Кто теперь владеет CryptoBilis?

Свежие корпоративные документы указывают на смену контроля над малайзийским реселлером до предполагаемой атаки на цепочку поставок. Бывшие сооснователи CryptoBilis сообщили в LinkedIn, что передали компанию новым владельцам в марте; по сообщениям, права собственности перешли к лицу по имени Цзямин (Jiaming), гражданину Китая.

Нет подтверждённых сообщений, связывающих новую собственность с этим инцидентом безопасности.

На данный момент в 2026 шесть брендов аппаратных кошельков раскрыли проблемы безопасности. Аналитики Galaxy Research оценили убытки выше $115 млн в деле Coldcard. Это раскрытие информации Ledger в начале октября стало вторым случаем, когда средства были потеряны.

сообщил Cryptopolitan Взлом BasedApp, который на прошлой неделе привёл к утечке KYC-данных клиентов.