Ledger подтвердила серьёзную проблему безопасности: в некоторых аппаратных кошельках обнаружен поддельный чип, который передавал приватные ключи пользователей через мобильную сеть. Проблема выявлена после жалобы немецкого покупателя, найдшего нештатный компонент в девайсе. Это не баг прошивки и не ошибка конструкции — речь идёт о целенаправленной замене оборудования на этапе производства или дистрибуции.

Случай по масштабности не беспрецедентен для индустрии: история аппаратных кошельков знает примеры компрометации на разных уровнях цепочки поставок. Однако для Ledger, занимающей львиную долю рынка аппаратных кошельков (особенно в розничной сети), это удар по репутации. Компания немедленно сняла устройства с полок MediaMarkt Saturn и запустила расследование — нужно понять, был ли взломан конкретный партнер по дистрибуции, производитель или сама логистика.

Техническая сторона здесь критична: если чип действительно перехватывал и передавал ключи, это означает, что вся безопасность аппаратного кошелька обнулилась. Не важно, насколько надёжна криптография Ledger Secure Element — поддельный чип снаружи просто скопирует данные перед тем, как они попадут в защищённое хранилище. Защита от такого сценария лежит полностью вне технических возможностей софтвера и требует проверки физической целостности устройства перед первым использованием.

Это обостряет извечный парадокс аппаратных кошельков: их покупают именно потому, что не доверяют интернету и компьютерам, но при этом доверяют цепочке поставок. Когда цепочка сломана, устройство становится опаснее, чем софтварный кошелёк, потому что пользователь уверен в безопасности и не проверяет каждый ход. Ledger и другие производители уже предлагают способы проверки подлинности (сканирование кода на сайте, визуальные элементы), но очевидно, что этого недостаточно против организованной компрометации.

Для русского рынка криптовалют это напоминание: если вы покупаете аппаратный кошелек в России, особенно через неофициальные каналы, риск получить скомпрометированное устройство выше, чем через авторизованные магазины. Хотя даже авторизация не даёт стопроцентной гарантии, как показал случай с MediaMarkt Saturn. На практике максимум, что можно сделать — купить напрямую у производителя (если возможно) или хотя бы через проверенного распределителя, провести визуальную проверку при получении и обязательно тестировать устройство с минимальными суммами перед тем, как хранить на нём крупные активы. Для управления большими портфелями некоторые предпочитают комбинировать аппаратный кошелек с воздухозазором (cold storage без сетевого доступа вообще).

Ledger обещает скорые результаты расследования и обновление процедур безопасности цепочки поставок. Если компания выяснит, кто стоял за компрометацией — это может быть государственный актор, криминальная группировка или конкурент — вероятно, это станет громкой новостью. Пока же владельцы устройств Ledger должны убедиться, что их девайс подлинный, и при малейших сомнениях перетащить активы на новый кошелек.