Tether заблокировал $10M, связанные с кражей в кошельке CryptoBilis Ledger

Tether заморозила 10 миллионов своих криптовалютных токенов USDT после того, как в результате кражи с аппаратных кошельков Ledger, проданных через CryptoBilis, было похищено до 93 миллионов долларов активов. Расследование движения средств продолжается, а компания Ledger утверждает, что проблема носит изолированный характер.

Подтверждённая информация, предоставленная Ledger на данный момент

Французский производитель криптовалютных кошельков пока не прокомментировал убытки. В Ledger заявили, что все выявленные компанией случаи касаются устройств, проданных через CryptoBilis — стороннего продавца, работавшего в Малайзии, Индонезии и на Филиппинах. Компания также подчеркнула, что признаков компрометации систем, сервисов и прямых продаж Ledger не обнаружено.

Обнаружение добавило элемент физического вмешательства в дело об уязвимостях, связанных с программным обеспечением. 10 октября компания заявила, что один из пострадавших пользователей владел устройством, на которое был установлен несанкционированный физический имплантат, что стало первым доказательством физического компрометирования кошельков Ledger в этом деле.

Сообщение для покупателей от их стороны очень ясно. Если вы приобрели устройство CryptoBilis в течение последних 90 дней и еще не настроили его, оставьте его без изменений. Если вы используете устройство прямо сейчас, переведите свои монеты на другое устройство с новой фразой восстановления.

Как следователи подсчитали убытки

Эти цифры приписываются аналитикам on-chain, а не компании Ledger. По оценкам Bitquery, атака привела к хищению $93,2 млн из 315 кошельков на шести различных блокчейнах, преимущественно USDT и TRON. Платформа безопасности YFarmX назвала более высокую сумму, утверждая, что в результате атаки было похищено $94,5 млн из 521 кошелька на семи разных блокчейнах. Обе оценки основаны на публичных данных цепочек блоков.

Согласно анализу Bitquery, большая часть украденных средств приходится на сеть TRON — около 70,5 млн долларов, еще 16,8 млн долларов составляют биткоины и 3,7 млн долларов — эфириум, а также значительно меньшие суммы в сетях BNB Chain, Polygon и Solana. Операция, по утверждениям, планировалась месяцами: адреса, задействованные в краже, были созданы 25 сентября, и до начала октября с них совершались десятки пробных переводов.

Основной перевод произошел 9 октября, когда, по данным Bitquery, злоумышленники изменили права доступа для 30 кошельков в сети TRON, а затем в течение часа перевели около 203,8 BTC из 111 биткоин-кошельков в одном блоке. Подобная операция возможна только при наличии у злоумышленника необходимых ключей.

Это важно, поскольку эмитенты стейблкоинов могут блокировать монеты, используемые для незаконной деятельности. Bitquery, подтвердившая заморозку Tether, сообщила, что по состоянию на 11 октября в блокчейне оставалось около 81 млн долларов отслеживаемых токенов, однако часть средств прошла через миксеры Tornado Cash и Zcash.

Отторжение со стороны авторизованного реселлера

Однако характеристика ситуации Ledger как инцидента CryptoBilis была воспринята неоднозначно. У реселлера на сайте был официальный значок Ledger, что возлагало ответственность за эту ситуацию на саму компанию, поскольку, «Это не инцидент CryptoBilis, это инцидент Ledger». Пользователь X MyCryptoParadise призвал компанию «взять на себя ответственность за этот беспредел».

У истории реселлера есть и другая сторона. По словам одного из сооснователей Аравинда Прабу, компания CryptoBilis была приобретена в марте 2026 года, и вся команда передала все системные доступы в ходе сделки, как сообщается в Learning Crypto.

Единственным новым инвестором компании, согласно официальным отчетам, было лицо, зарегистрированное в Китае. На данный момент связь между кражами и изменением структуры собственности не установлена, и расследование не выявило вмешательства со стороны новых инвесторов.

CryptoBilis приостановила продажи и доставку всех брендов, которые она реализует, а также закрыла свои физические магазины во всех трех странах.

Имплант, который разобрал Марк Карпелес

Возможно, наиболее точное описание оборудования дал основатель Mt. Gox Марк Карпелес. Карпелес разобрал купленный в Малайзии Ledger Nano X и, как сообщал сообщает Learning Crypto, обнаружил дополнительные компоненты, скрывавшиеся под экраном: сотовый модем, eSIM и крошечный чип, позволяющий перехватывать то, что отображалось на экране.

При настройке кошелька слова восстановления отображаются именно на этом экране. Компонент, способный перехватывать данные с дисплея, позволил бы отправлять эти слова через мобильную сеть, что привело бы к воссозданию кошелька в другом месте и краже средств. Пока остаётся доказать, содержат ли все устройства такие компоненты.

Стоит отметить, что этот случай отличается от другой кражи в марте, произошедшей в апреле, когда фишинговые злоумышленники использовали приложение Ledger Live из App Store компании Apple для похищения не менее 9,5 млн долларов.