Проблема с контрафактными устройствами Ledger, о которой мы знаем уже несколько месяцев, теперь явно вышла за пределы отдельных случаев. Новый инцидент в ЕС — покупка поддельного кошелька через авторитетного ритейлера — показывает, что цепочка поставок компании либо взломана, либо серьёзно ослаблена. Это не просто неудобно: пользователь рискует потерять все активы, если устройство специально модифицировано для перехвата seed-фразы или приватных ключей.
Параллельно исследователи безопасности обнаружили критическую уязвимость в блокчейне Ripple/XRP, используя AI для анализа кода. Согласно их оценкам, баг мог бы позволить создать или перенаправить XRP на сумму около $94 млрд — это чуть менее половины от общей капитализации XRP на момент открытия. Масштаб серьёзный, вопрос в том, был ли баг активно эксплуатирован или остался теоретическим.
Вот что тревожит: за выявление столь критической уязвимости исследователи получили баг-баунти $250 тыс. Это мизер относительно потенциального урона. Ripple, безусловно, благодарна за ответственное раскрытие, но сумма явно не коррелирует с риском. Для сравнения: крупные блокчейн-проекты вроде Ethereum или Solana иногда выплачивают в разы больше за менее критичные находки. Если баг-баунти остаются столь скромными, мотивация у независимых аудиторов ослабевает — а это значит, что потенциально опасные ошибки могут оставаться незамеченными дольше.
Применительно к российскому бизнесу оба события имеют практическое значение. Для тех, кто работает с крипто-активами: покупайте аппаратные кошельки только напрямую у производителя или авторизованных дистрибьюторов, а не через маркетплейсы и третьих лиц — даже если продавец кажется респектабельным. Для проектов, которые разворачивают смарт-контракты или работают с блокчейн-интеграциями: регулярные аудиты кода и привлечение внешних аудиторов остаются критичны, особенно если проект обрабатывает значительные объёмы стоимости.
Ledger годами позиционирует себя как самый безопасный способ хранить крипто, но серия инцидентов с контрафактом показывает, что даже на известный бренд нельзя положиться полностью. Это бьёт по репутации компании, потому что доверие в этой категории — всё. Пользователи выбирают аппаратный кошелек именно чтобы избежать хаков, и если дистрибуция скомпрометирована, основной аргумент теряет смысл.
История с XRP-багом также показывает, что AI становится полезным инструментом для анализа сложного кода в условиях, когда традиционные методы могут что-то пропустить. Но это же означает, что скрытые уязвимости находятся всё легче — и проекты должны быть готовы платить за это соответственно.