В Сингапуре завершилось расследование инцидента с взломом аппаратных кошельков Ledger. По данным местной полиции, общий ущерб составил $2.7 млн. Это не первый крупный инцидент в истории компании, но значимый в плане количества пострадавших и суммы — и важный в плане хронологии: первые тревожные звонки звенели ещё в начале сентября.
Ключевой момент в сообщении полиции — что первые две жалобы поступили 10 сентября, почти на месяц раньше, чем компания Ledger официально признала масштабность проблемы. Это указывает на классический сценарий: пострадавшие заметили несанкционированные операции с кошельками раньше, чем инцидент оказался в центре внимания. Такой временной разрыв обычно означает, что расследование шло параллельно и внешне, и изнутри компании — и только накопление достаточного количества сообщений, через недели, привело к публичному признанию.
Что касается технической стороны: Ledger — производитель самых популярных аппаратных кошельков (Nano S, Nano X, Stax). Компрометация произошла на уровне цепочки поставок или через уязвимость в самих устройствах. Пользователи, привыкшие относиться к аппаратным кошелькам как к неприступному форту, столкнулись с реальностью: если ключи выходят из вашего полного контроля хотя бы на несколько шагов дистрибуции — риск есть. Это не первый раз, когда холодные кошельки оказывались уязвимы, но каждый такой инцидент переоценивает доверие пользователей.
Для индустрии криптовалютных активов это повторяющийся урок: аппаратный кошелёк — не панацея, а инструмент, эффективность которого зависит от того, не компрометирована ли цепочка его производства и дистрибуции. В России подобные инструменты находят применение у некоторых инвесторов в крипто, но широкого распространения холодных кошельков пока нет — в первую очередь из-за сложности и недостатка экосистемы. Вместо этого российские пользователи чаще опираются на централизованные биржи или кастодиальные сервисы, что имеет собственные риски, но они ближе к привычному стеку услуг.
Отдельный вопрос — судебная ответственность Ledger. В Сингапуре расследование завершено, но в других странах — США, ЕС — компания столкнулась с исками. По какой части она не виновна: устройства принципиально не передают приватные ключи (они хранятся в чипе). По какой виновна: вероятно, проблема в ПО, интеграции или цепочке поставок. Ledger уже выплатила компенсации некоторым пострадавшим и обновила свои процессы. Но репутационный урон остаётся.
Из этого инцидента вытекает главный практический вывод для владельцев крупных сумм в крипто: холодное хранилище критично, но оно требует активного контроля цепочки покупки, хранения и использования устройства. Слепое доверие к названию бренда — тот же риск, что и вообще хранение в сети.
Алексей Мартыненко
Главный редактор SPV News
Инцидент показывает, почему критично, чтобы цепочка безопасности была полностью под вашим контролем. Аппаратный кошелёк переносит доверие с централизованного сервиса только на производителя и логистику — и это не панацея. В России стоит быть особенно внимательным при заказе таких устройств, потому что дополнительное расстояние и звенья дистрибуции повышают риск. Для бизнеса это означает, что выбор способа хранения активов требует такой же осторожности, как и выбор контрагента.