Компания Ledger, производитель аппаратных криптокошельков, признала, что часть выпущенных ей устройств и проданных одним из реселлеров, была модифицирована неизвестными злоумышленниками. По сообщению Bleeping Computer, в девайсы был встроен «шпионский» модуль, позволивший авторам модификации опустошить криптокошельки пользователей.

Реселлером в данном случае выступила компания CryptoBillis, крупный малазийский ритейлер, работающий в Юго-Восточной Азии.

На фоне жалоб со стороны пользователей продукции Ledger на внезапную утрату криптоактивов Ledger 9 октября 2026 г. начала собственное разбирательство, на время которого попросила CryptoBilis воздержаться от реализации девайсов. На следующий день компания сообщила о выявлении по крайней мере одного девайса, модифицированного злоумышленниками. Однако до сих пор неизвестно, кто стоит за их изготовлением и внедрением в оригиналы и на каком этапе производства или логистики оно было осуществлено.

В середине сентября 2026 г. ряд независимых исследователей сообщил о том, что на рынке доступны «холодные» криптокошельки Ledger Nano X со скрытым встроенным имплантом, позволяющий злоумышленникам удаленно получать сведения о выполняемых на устройстве операциях. Примечательно, что такие девайсы имели цену вдвое меньше рекомендуемой производителем.

Ledger Nano X – это аппаратный криптокошелек, широко применяемый для безопасного хранения закрытых ключей (seed-фраз) и подтверждения транзакций с криптоактивами, в том числе в отсутствие подключения к Сети.

Согласно официальному сайту Ledger, модель Nano X имеет компактный экран диагональю 1,1 дюйма, поддерживает ключи доступа (passkey) в качестве второго фактора аутентификации (2FA), подключение по Bluetooth и обеспечивает работу в течение 5 часов без подзарядки аккумулятора.

Девайс позволяет взаимодействовать более чем с 5,5 тыс. монет и токенов, в числе которых Bitcoin, Ethereum, XRP, USD Tether, Polkadot и Litecoin. На устройство можно установить до 100 приложений.

В официальном интернет-магазине Ledger устройство предлагается по цене в 82,5 евро (около 7,8 тыс. руб. по курсу ЦБ на 13 октября 2026 г.).

Применение модифицированных Ledger Nano X для хищения криптовалюты – явление далеко не новое. В 2021 г. CNews сообщил о кампании, в ходе которой злоумышленники бесплатно рассылали поддельные Ledger Nano X со впаянными флеш-накопителями от лица Ledger якобы для замены уже имеющихся у пользователей устройств на нескомпрометированные. Мошенников тогда подвело небрежно составленное сопроводительное письмо, которое вызывало подозрение у получивших модифицированный девайс.

Глава ИТ-компании Karpeles Lab Inc. Марк Карпелес (Mark Karpelès) отмечает, что нынешние образцы модифицированных Ledger Nano X заметно отличаются по качеству исполнения от предыдущих вариантов, в которых, к примеру, содержавших следы ручной пайки. В подтверждение своих слов он опубликовал фотографию одного из новых образцов. По словам эксперта, «шпионский» модуль перехватывает сигналы нажатия кнопок и информацию, выводимую на дисплей электронной «начинкой» Nano X, после чего отправляет их злоумышленникам через мобильную сеть LTE.

Ledger предлагает проверку на подлинность выпускаемых ей устройств, однако в данном конкретном сценарии процедура бесполезна, поскольку модификация никак не сказывается на работе встроенного криптомодуля Secure Element.

Эксперты Tibane Labs подтвердили выводы Карпелеса, уточнив, что им доводилось сталкиваться по крайней мере с двумя вариантами Ledger Nano X с «сюрпризом» внутри. Один из них был приобретен на через маркейтплейс Amazon Japan у китайского вендора с доставкой из Малайзии, второй – посредством японской аукционной площадки “Yahoo! Action”.

Внутри первого образца модифицированных Ledger Nano X, помимо стандартной заводской «начинки», специалисты обнаружили микроконтроллер ST STM32G431KBU6 (1 ядро ARM Cortex M4, 128 КБ флеш-памяти) в корпусе UFQFPN-32, сокрытый под антенной и аккумулятором девайса. Микроконтроллер подключен к оригинальной плате Nano X посредством шины SPI.

Для связи с инфраструктурой злоумышленников был задействован миниатюрный eSIM-чип с восемью контактами и размером всего 2х2 мм, расположенный рядом с микроконтроллером, а также экранированный модуль сотовой связи четвертого поколения (LTE). Уместить все это в довольно компактном корпусе девайса злоумышленником удалось при помощи замены оригинальной батареи на обладающую меньшими размерами.

Во втором обследованном девайсе маркировка на поверхности микроконтроллера и eSim-модуля оказалась стертой, выяснили исследователи Tibane. Причем этот экземпляр оказался более «продвинутым» в сравнении с попавшим в руки к Карпелесу: имплант оказался запитан от оригинальной батареи Ledger Nano X, а расположился он в пространстве под OLED-экраном вместо мягкой защитной прокладки.

В обоих случаях компоненты «шпионского» модуля были выполнены на базе гибкой печатной платы, выполненной качественно, вероятно, в заводских условиях.

То, что устройство было модифицировано, выдает и наличие отсутствующей в оригинале кастомной плоской LTE-антенны, встроенной злоумышленниками в его корпус. На фотографиях, предоставленных Марком Карпелесом, видна маркировка антенны: C-A2016-NANO-V1.1.