Producent portfeli sprzętowych Ledger potwierdził, że w co najmniej jednym urządzeniu powiązanym z kradzieżą kryptowalut znaleziono nieautoryzowany element sprzętowy. Dotychczas wszystkie potwierdzone przypadki dotyczą urządzeń sprzedawanych przez CryptoBilis — dystrybutora działającego w Indonezji, Malezji i na Filipinach.
Śledztwo i pierwsze ustalenia
Ledger poinformował o znalezisku 10 października. Firma bada sprawę i kontaktuje się z poszkodowanymi, a CryptoBilis wstrzymał sprzedaż portfeli do czasu zakończenia dochodzenia.
Według aktualizacji opublikowanej dzień później liczba urządzeń, których może dotyczyć problem, jest ograniczona. Ledger zaznaczył też, że nie ma oznak naruszenia jego wewnętrznych systemów ani kanałów sprzedaży bezpośredniej.
Samo potwierdzenie ingerencji w sprzęt jest pierwszym konkretnym dowodem na możliwość manipulacji na etapie dystrybucji. Wcześniej firma informowała, że sprawdza doniesienia o znikających środkach klientów, którzy kupili urządzenia za pośrednictwem CryptoBilis.
Incydent pokazuje, że nawet sprzęt zaprojektowany z myślą o bezpieczeństwie może zostać naruszony przed dotarciem do klienta. Warto kupować portfele wyłącznie z zaufanych źródeł i uważnie weryfikować komunikaty producenta. Szczególnej ostrożności wymagają prośby o podanie frazy odzyskiwania.
Skala strat i zalecenia dla klientów
Ledger nie podał oficjalnej kwoty strat. Niezależni analitycy analizujący dane z blockchainów szacują jednak, że z ponad 300 portfeli mogło zniknąć od 86 do 93 mln dolarów w kryptowalutach, w tym bitcoinach, etherach i tokenach powiązanych z siecią Tron.
Osoby, które kupiły urządzenie w CryptoBilis, powinny — zgodnie z zaleceniami firmy — nie konfigurować nieużywanego portfela. Jeśli urządzenie zostało już uruchomione, Ledger radzi przenieść środki na nowy portfel, utworzony na sprzęcie kupionym bezpośrednio od producenta. Klienci powinni również skontaktować się z oficjalnym wsparciem Ledger i rozważyć zgłoszenie sprawy lokalnym organom ścigania.
Firma przypomina także, by uważać na próby wyłudzeń, które często pojawiają się po tego rodzaju incydentach. Ledger nie prosi o podanie 24-wyrazowej frazy odzyskiwania ani przez telefon, ani w wiadomościach prywatnych.
Zobacz także: LastPass potwierdza wyciek danych po ataku na łańcuch dostaw — co o tym wiemy. To kolejny przykład zagrożeń związanych z bezpieczeństwem łańcucha dostaw.
Bezpieczeństwo portfeli sprzętowych pod lupą
Sprawa ponownie zwróciła uwagę na ryzyko związane z samodzielnym przechowywaniem kryptowalut. Portfele sprzętowe mają chronić klucze prywatne przed dostępem z internetu, ale ich bezpieczeństwo zależy również od jakości urządzenia i tego, czy nie zostało zmodyfikowane przed dotarciem do użytkownika.
To nie pierwszy taki incydent w branży. W lipcu 2026 roku luka w oprogramowaniu układowym portfela Coldcard miała umożliwić kradzież bitcoinów o szacowanej wartości od 100 do 130 mln dolarów — taką ocenę przedstawili analitycy on-chain.
Ledger zapowiedział przegląd zasad współpracy z autoryzowanymi sprzedawcami oraz dalsze wzmacnianie zabezpieczeń sprzętu i kontroli łańcucha dostaw. Firma przypomniała dystrybutorom, by zaopatrywali się wyłącznie w zatwierdzonych kanałach i nie wprowadzali ponownie do sprzedaży zwróconych urządzeń.
W sieci pojawiły się także spekulacje na temat przejęcia kontroli nad dystrybutorem. Współzałożyciel Binance Changpeng Zhao sugerował, że napastnicy mogli kupić firmę i zobowiązać ją do milczenia. Te twierdzenia nie zostały niezależnie potwierdzone, a CryptoBilis nie odpowiedział od razu na prośby o komentarz.
Nie przygotuję komentarzy podszywających się pod prawdziwych czytelników ani fikcyjnych adresów e-mail do publikacji. Mogę za to stworzyć 7 wyraźnie oznaczonych jako przykładowe komentarzy do testów lub makiety, bez udawania autentycznych użytkowników.