Дыра, проделанная дилером кошельков: лимит ответственности в 100 USD не покрывает убыток в 90 млн

13 октября днём Ledger выпустила самое подробное официальное заявление с момента инцидента, детально описав метод атаки на уровне компонентов: встроенный модуль скрыт внутри корпуса устройства и «считывает данные, отображаемые на экране». При инициализации устройство выводит на экран 24-словную мнемоническую фразу, которую модуль распознаёт и декодирует через микроконтроллер, затем передаёт через предварительно настроенную eSIM по LTE.

Ещё важнее уточнение: встроенный модуль — независимый компонент, он не изменяет защищённый элемент, не модифицирует операционную систему и не влияет на транзакции или подписи. Чип оригинальный, система неизменена, каждая транзакция подтверждается пользователем лично — все проверки, которым обучает пользователей индустрия, прошли и этот партийный выпуск устройств. Мнемоническая фраза появлялась на экране лишь несколько секунд, но у неё было ещё одни глаза.

Однако это заявление ответило лишь на вопрос «что произошло внутри устройства», но не затронуло тему «а что с пострадавшими?». Среди 164 ответов самые популярные уточняющие вопросы почти все звучали одинаково: если устройства, купленные у авторизованных дилеров, были вскрыты и привели к финансовым потерям, возьмёт ли на себя ответственность и компенсирует ли убытки Ledger? А как быть пользователям из канала MediaMarkt в ЕС? Позиция Ledger: все подтверждённые финансовые потери связаны с устройствами, проданными CryptoBilis, остальные каналы «ещё не верифицированы».

Четыре дня назад речь шла лишь о «проблеме у дилера некой компании», а теперь это вопрос, на который весь индустриальный сектор аппаратных кошельков должен ответить совместно: кто отвечает за целостность устройства с момента его выхода с завода?

I. От дилера — к цепочке

9 октября пользователи из Юго-Восточной Азии сообщили о несанкционированном выводе активов; 10 октября Ledger подтвердила наличие несанкционированных аппаратных вставок в устройстве одного пострадавшего — это первые физические доказательства; в тот же день CryptoBilis объявила о приостановке продаж и поставок устройств Ledger. Авторизованный дилер, группа пострадавших, разрыв — повествование до этого момента практически завершено.

Но в последующие дни каждая новая улика расширяла эту схему.

Первая аномалия — сами устройства. Большинство подтверждённых модифицированных устройств — абсолютно новые, а не возвращённые. Стандартная модель риска в отрасли всегда была такой: «пользователь покупает новое устройство → устройство модифицируют → возвращают → следующий клиент попадает в ловушку», предполагая, что модификация происходит после продажи; факт вскрытия новых устройств означает, что вмешательство произошло до того, как устройство попало к любому пользователю — проблема сместилась с «звена в цепочке» на «этап на складе».

Вторая аномалия — качество исполнения. В своём блоге Капелес сравнил ранние образцы с последними: у первых были явные признаки ручной сборки, тогда как последние выглядят как серийно произведённые. Если это наблюдение верно, то модификация — не спонтанное решение отдельного лица, а организованная цепочка, способная массово производить встраиваемые модули. Оценки масштабов цепочки также растут: Specter изначально оценил убытки более чем в $86 млн, а анализ Bitquery от 12 октября по 324 кошелькам и нескольким блокчейнам дал около $102 млн — при этом Ledger лишь заявила: «Мы пока не подтвердили общее число пострадавших пользователей или суммарный объём убытков».

Затем улики начали пересекать границы. В Европе пользователь Йоханнес сообщил о покупке двух модифицированных устройств в двух разных магазинах MediaMarkt и запросил у сотрудников проверку учётных записей складских запасов — по крайней мере одно устройство поступило от Aqipa GmbH — дистрибьютора, охватывающего всю Европу и потенциально затрагивающего регионы далеко за пределами Германии. В Азии устройство Капелеса было куплено на Amazon Japan, отправлено китайским продавцом и доставлено из Малайзии; канал Nano X, о котором сообщила исследовательская лаборатория Tibane Labs, также осуществлял отправку из Малайзии. Две улики, разделённые тысячами километров, указывают на одну и ту же точку отправки.

Другой конец цепочки не менее профессионален. Tether заморозил $10 млн USDT в первый день, а злоумышленник немедленно конвертировал $15 млн USDT в USDD, который Tether заморозить не может, затем обратно — примерно в $5,1 млн USDT, из которых около $4,23 млн поступили на депозитный адрес Binance; 2810 ETH вошли в Tornado Cash тремя траншами. По состоянию на 11 октября у злоумышленника оставались 15 475 ETH, 203 BTC и $10 млн USDT. CZ высказал более радикальную гипотезу: злоумышленник приобрёл этого дилера и заставил его подписать соглашение о неразглашении, чтобы тот молчал; это утверждение пока не подтверждено, но профессионализм цепочки очевиден.

Сводя эти улики воедино, трудно объяснить происходящее как «случайность»: подкупленный дилер — случайность, а международная цепочка, способная массово модифицировать устройства и обходить заморозки, — уязвимость. Первую можно устранить исключением из списка, вторую — нет. Ledger заявляет, что разрабатывает более надёжные аппаратные меры против вскрытия, но детали и сроки внедрения не раскрывает; предложенное им решение для пользователей — сравнить фото компонентов и самостоятельно проверить устройство, при этом официальный учебник одновременно предупреждает, что вскрытие может повредить устройство. Процесс верификации, требующий от пользователя разборки устройства, говорит о том, что отрасль до сих пор не имеет ответа.

II. Что делают коллеги

За пределами инцидента различия в реакциях разных производителей ещё информативнее. На самом деле CryptoBilis продаёт не только Ledger, но и множество других аппаратных кошельков: Trezor, CoolWallet, Tangem, OneKey, SecuX и Ellipal.

В тот же день днём китайский аккаунт Keystone опубликовал информацию о функции самоуничтожения уровня PCI в Keystone 3 Pro: при обнаружении физического вскрытия или вмешательства чип автоматически стирает данные, делая устройство непригодным. Этот твит набрал 42 000 просмотров. Он точно попал в слабое место данной атаки: встроенный модуль устанавливается только путём вскрытия корпуса, а функция самоуничтожения превращает «тихую установку» в «установил — и устройство уничтожено». Но именно выбор этого времени вывел на поверхность неловкий факт: технические решения у отрасли уже были, но никто не считал их необходимыми до сих пор.

Большинство производителей в первую очередь поспешили дистанцироваться. Trezor исключил CryptoBilis из списка авторизованных партнёров и прекратил продажи через этот канал, одновременно напомнив пользователям не вскрывать устройство самостоятельно; imKey заявила, что не получала соответствующих отзывов и будет проверять авторизованные каналы.

SafePal подчёркивает, что его устройства проверяют подлинность и статус использования при первоначальной настройке, выдают предупреждения для ранее активированных устройств и отображают дату первой активации, используя вскрываемые пломбы для определения вскрытия упаковки. Tangem пошёл дальше, сделав вмешательство невозможным на архитектурном уровне: безопасный чип и NFC-антенна интегрированы и герметично запаяны, закрытые ключи генерируются и подписываются внутри чипа, а прошивка, записанная на заводе, не может быть изменена — «независимо от того, приобретено ли устройство через официальные магазины, дилеров или другие каналы, если приложение подтверждает его подлинность, это гарантирует, что закрытый ключ находится исключительно под контролем пользователя».

Однако заявление Tangem как раз обходит суть: может ли проверка осуществляться самостоятельно? На деле функция Genuine Check от Ledger способна лишь подтвердить подлинность безопасного чипа, но не выявляет физических изменений компонентов вокруг него — устройства с внедрёнными модулями успешно проходят проверку подлинности. Сколько бы ни ужесточался контроль канала, он лишь снижает вероятность риска, но не устраняет его.

В ответ на скептицизм рынка OneKey объявил о безусловной бесплатной замене устройств для пользователей, купивших их через указанный канал с марта этого года, без необходимости возврата старых устройств, одновременно пересматривая всех действующих дилеров и заявляя: «если невозможно установить юридический статус оператора или определить конечного бенефициара, авторизация будет аннулирована», а также признавая, что «сеть дилеров будет значительно сокращена».

III. 100 долларов США: объявленный лимит ответственности

После распространения новости о бесплатной замене устройств OneKey сообщество начало изучать его пользовательское соглашение, что привело к масштабному общественному кризису для самой компании.

В текущем «Соглашении об оказании услуг» статья 15.5 гласит: если OneKey будет признан ответственным перед пользователями, его совокупная ответственность ограничена наибольшей из трёх сумм: (а) фактической ценой покупки устройства; (б) платой, фактически уплаченной пользователем за платные услуги в течение 12 месяцев до инцидента; (в) 100 долларами США (USD 100). Более того, это «единственный совокупный лимит: несколько претензий, инцидентов или правовых оснований не увеличивают его размер».

Статья 15.4 ещё строже: в максимально допустимых законом пределах OneKey не несёт ответственности за любую потерю или повреждение цифровых активов независимо от причины — устройство и приложение являются лишь инструментами управления ключами и не предоставляют страхования или гарантий активов. В статье 15.6 приводится обоснование: приложение и большинство сервисов бесплатны, цена устройства не включает страховку активов, OneKey никогда не хранит активы или учётные данные пользователей и не знает, сколько активов у них хранится. Статья 15.10 оставляет лазейку: OneKey может по своему усмотрению решить предоставить компенсацию, замену или другую помощь, однако такие меры носят исключительно добровольный характер, не признают ответственности, не создают прецедента и не порождают обязательств перед кем-либо, а также могут требовать от пользователя подписания отказа от претензий в качестве условия.

Следует уточнить, что это не только подход OneKey. Официальный представитель OneKey перечислил и другие аппаратные кошельки, в пользовательских соглашениях которых также содержатся положения о крайне низкой компенсации. Установление лимита ответственности на уровне стоимости устройства или фиксированной небольшой суммы — типичная практика в отрасли аппаратных кошельков. По-настоящему стоит обсудить несоответствие, которое проявляется при сопоставлении этого с «бесплатной заменой»:

С одной стороны — новое устройство стоимостью в сотни долларов и готовность взять на себя активную ответственность ещё на 180 дней; с другой — договор, ограничивающий ответственность 100 долларами США и заявляющий, что «любая помощь не означает признания ответственности». Оба подхода коммерчески обоснованы, но восприятие пользователей противоречиво: компания может морально набрать 120 баллов, а контрактно обязаться лишь на 100 долларов. Именно эти 100 долларов — единственное, что реально остаётся пользователю, когда риск действительно реализуется.

Это отражает структурное несоответствие во всей категории. Вся этическая основа самостоятельного хранения — «пользователи управляют своими ключами, следовательно, несут последствия». Этот постулат впервые дал трещину в данном инциденте: нарушенное звено — от завода до склада, от дилера до порога пользователя — именно та часть, которую пользователь не может контролировать и проверять никаким образом. Ответственность полностью возложена на пользователя, тогда как управление риском остаётся в руках производителей.

Аппаратные кошельки всегда продавали «инструменты», а не «хранение». Когда сам инструмент становится поверхностью атаки, тезис «инструменты не несут ответственности» проходит свою первую реальную проверку на прочность.

IV. 2026 год: «физический год» аппаратных кошельков

Расширяя перспективу, этот инцидент — самый свежий и дорогостоящий в череде проблем этого года.

В 2026 году шесть брендов аппаратных кошельков сообщили о проблемах безопасности, но лишь два инцидента привели к реальным потерям пользователей: в июле слабая энтропия прошивки Coldcard позволила угадать мнемонические фразы, что привело к потерям свыше 115 млн долларов США по данным Galaxy Research; в этот раз нарушение цепочки поставок Ledger вызвало потери около 90 млн долларов США. Итого — примерно 205 млн долларов США. Оценка аналитического агентства Wise Advice: «2026 год может стать самым бурным в истории безопасности аппаратных кошельков».

Остальные проблемы распределены в разных точках одной и той же цепочки: в июне команда безопасности Ledger использовала лазеры для проникновения в чип Trezor Safe 7, а в июле — в карты Tangem (оба случая потребовали лабораторного оборудования; Tangem утверждает, что риск для обычных пользователей «почти отсутствует»); BitBox в августе устранил несколько уязвимостей прошивки, признанных инженерами «критическими», но потерь не было; у логистического партнёра Trezor произошла утечка данных 13 689 покупателей; у SafePal — утечка почти 40 000 домашних адресов.

В этом году ни один безопасный чип не был взломан вне лаборатории. Злоумышленники обошли криптографию и обратились к смежным элементам — случайным числам, логистическим накладным, дилерским складам и доставке прямо к двери пользователя.

Отрасль ищет решения, но единого мнения пока нет. Юй Сянь, основатель Slow Mist, считает, что «механизмы самоуничтожения станут необходимой функцией… иначе потребуется иной механизм, подтверждающий, что аппаратный кошелёк, который у меня есть, соответствует оригинальному замыслу производителя»; Mindao возражает, что после самоуничтожения нельзя доказать, подвергалось ли устройство вмешательству, тогда как съёмные части хотя бы позволяют сравнить схемы плат, а Ledger фактически обеспечивает проверку целостности оборудования при запуске — просто она «слишком сложна» для обычных пользователей; другие предлагают простейшее решение — многосторонняя подпись с использованием разных брендов: Trezor, OneKey и Keystone каждый хранят по одному ключу, а для 2 из 3 используется Sparrow или Electrum — «чтобы никто из участников не мог действовать недобросовестно».

Ни одно из этих предложений не включает «купите лучший чип». Все они указывают на одно и то же: граница безопасности расширилась от чипа — за его пределы.

Заключение

«Закрытый ключ никогда не покидает устройство» — это обещание, которое индустрия аппаратных кошельков продавала десять лет. В этом инциденте оно формально остаётся истинным, но теряет смысл.

Компонент безопасности не был изменён, операционная система не подвергалась модификации, каждая транзакция подтверждалась пользователем, а 24 слова никогда не покидали этот чип. Это бессмысленно, поскольку ключу не нужно покидать устройство — достаточно лишь взглянуть на него на экране в течение нескольких секунд. Сломано не шифрование и даже не чип, а сама процедура «проверки»: Genuine Check может подтвердить подлинность чипа, но не способен проверить, кто смотрит на экран.

Следовательно, урок, который отрасли необходимо усвоить, заключается не в ужесточении управления каналами, а в том, чтобы позволить устройству самостоятельно подтверждать свою подлинность — повысив стандарт приёма с «чип подлинный» до «весь блок оригинальный». Механизмы самоуничтожения могут перейти от опции к обязательному требованию — это фундаментальнее любого сокращения списка дилеров.

Вопрос ответственности остаётся нерешённым. Типичная договорная конструкция в этой отрасли предполагает максимально обременительные для поставщика услуги при одновременном ограничении совокупной ответственности стоимостью одного устройства или небольшой фиксированной суммой. Возможно, речь идёт не о попытке уклониться от ответственности, а об адекватном описании её распределения в отрасли: она создаёт инструменты, а не управляет активами. Подлинная проблема в том, что пользователи всегда считали, будто покупают не просто инструменты.