Ledger со шпионским модулем нашли на Ozon: что известно и что делать владельцам кошельков с маркетплейсов

Что нашли в Ledger с Ozon

История с аппаратными кошельками Ledger со шпионской закладкой дошла до России. В открытом реестре заражённых устройств, который с 13 октября ведёт Марк Карпелес, появилась запись о Ledger Nano X, купленном на Ozon. Bits.media написал об этом 16 октября.

Покупатель вскрыл устройство и выложил фото. Внутри оказалось то, чего в настоящем Nano X нет:

• тонкая чёрная плата между экраном и основной платой с модулем связи и разъёмом для антенны;
• печатная антенна в корпусе с китайской маркировкой «евразийская версия» и номером ревизии V1.1;
• заменённая батарея с маленькой платой и проводами, припаянными к плате кошелька у разъёма USB-C.

Такая же батарея стояла в первом заражённом устройстве из MediaMarkt, а антенна — более поздняя ревизия той же детали. Реакции Ozon и Ledger именно на этот случай мы не нашли.

Ledger в России официально не продаёт: в списке авторизованных реселлеров на сайте компании нет ни России, ни Ozon. Всё, что продаётся на маркетплейсах, приходит через посредников, и каждый из них — лишнее звено между заводом и вашими монетами. С криптовалютой так же: чем меньше рук между вами и монетами, тем лучше, поэтому многие покупают её не на бирже, а через обменник криптовалюты с выплатой сразу на свой адрес.

Как работает закладка

Механизм Ledger описала 13 октября после разбора своей командой безопасности Donjon. Закладка не взламывает защищённый чип и не меняет прошивку. Она читает то, что показывает экран.

«Во время настройки кошелёк показывает фразу восстановления из 24 слов. Когда закладка распознаёт эти экраны, её микроконтроллер расшифровывает слова и передаёт их по LTE через встроенную eSIM».

Отсюда главный вывод: опасен момент создания кошелька. Фраза уходит злоумышленнику, кошелёк выглядит и работает как обычно, а потом его опустошают. Так произошло 9 октября с покупателями малайзийского реселлера CryptoBilis: по оценке аналитиков Bitquery, за день вывели около $102 млн из 324 кошельков. Ledger общую сумму не подтверждает. Подробно об этом мы писали в статье о подтверждённой закладке в Ledger.

Важная деталь: штатная проверка подлинности Ledger, Genuine Check, такую закладку не ловит. Сама Ledger пишет, что проверка не обнаруживает физических изменений в устройстве, если защищённый чип родной. Покупатель первого устройства из MediaMarkt утверждает, что его кошелёк проверку прошёл.

15 устройств, 9 продавцов

Реестр Карпелеса на 16 октября насчитывает 15 записей от 9 продавцов. В 12 случаях закладка подтверждена, ещё два — подделки, одно устройство в пути на разбор.

Закладки находили в моделях Nano X, Flex и Stax. Первые случаи относятся ещё к 2025 году, а публично закладку впервые разобрал исследователь Джо Гранд в июле 2026-го. Ledger 15 октября написала, что это «не системная атака на цепочку поставок, а локальная атака на канал продаж», и попросила приостановить продажи в Юго-Восточной Азии и Гонконге, а реселлерам велела выдавать устройства прямо со склада, не выставляя их на витрину.

Мы уже писали, как после этой истории Trezor сокращает реселлеров, а MediaMarkt снял Ledger с продажи.

Фишинг под «обновление прошивки»

Одновременно мошенники начали зарабатывать на страхе. 16 октября компания SlowMist предупредила о рассылке от имени Ledger: письмо сообщает, что для защиты «от шпионских угроз, как недавно в Малайзии» нужно обновить прошивку, и ведёт на сайт с выбором модели и поддельной страницей Genuine Check.

Выглядит это убедительно, но цель одна — фраза восстановления. SlowMist советует никогда не обновлять прошивку по ссылкам с сайтов и нигде не вводить фразу. Ledger со своей стороны напоминает, что никогда не звонит, не пишет напрямую и не спрашивает 24 слова. Прошивку обновляют только в официальном приложении Ledger Wallet.

Мошенник, которого обокрали

У истории есть и почти анекдотическая сторона. По данным Chainalysis, одним из крупнейших пострадавших 9 октября оказался сам мошенник: он лишился больше 60 BTC, около $4,8 млн.

Деньги были добыты на «заданиях»: людям платили за фиктивные продажи и отзывы, а потом показывали «отрицательный баланс» и требовали внести свои средства. 22 сентября организатор перевёл выручку на три адреса Ledger, а 9 октября воры опустошили все три, по одному переводу на тот же кошелёк.

Что делать, если ваш Ledger куплен на маркетплейсе

Если кошелёк куплен не у Ledger и не у авторизованного реселлера, исходите из того, что фраза могла уйти. Ledger для покупателей CryptoBilis советует так, и тот же порядок разумен для любого устройства из неофициального канала:

1. Не создавайте на нём кошелёк и не вводите туда фразу, если ещё не настраивали.
2. Если уже пользуетесь — купите новое устройство у производителя, создайте на нём новый кошелёк с новой фразой и переведите туда все монеты. Скорость важнее комиссии.
3. Не вскрывайте устройство, пока не перенесли средства: при вскрытии его легко повредить.
4. Не обновляйте прошивку по ссылкам из писем и сообщений, только в приложении Ledger Wallet.
5. Проверяйте упаковку и лист для фразы: новый кошелёк никогда не приходит с заполненной фразой или PIN-кодом.

Главное правило не изменилось: тот, кто знает вашу фразу, владеет вашими монетами. Как хранить её и что делать при утечке, мы разбирали в гайде как хранить сид-фразу.

Как перевести монеты на новый кошелёк без лишних посредников

Если вы переезжаете на новый кошелёк, удобно сразу получать на него монеты напрямую, не оставляя их по дороге на биржевом счёте.

В VertEXchange аккаунта нет: не нужны ни почта, ни телефон, ни пароль. Вы выбираете пару, указываете адрес нового кошелька и до отправки видите курс и сумму, которая придёт. Монеты уходят сразу на ваш адрес, сервис их не хранит.

• Фиксированный курс держится около 15 минут, пока подтверждается перевод.
• Можно указать адрес возврата, если обмен не состоится.
• Персональные поля операции удаляются через 24 часа после завершения.
• Чат поддержки есть на каждой странице, вопрос решают по коду обмена.

Так можно купить биткоин за USDT TRC20 сразу на адрес нового аппаратного кошелька или обменять эфир на биткоин без биржи.

Частые вопросы

Продаёт ли Ledger кошельки в России официально?

Нет. В списке авторизованных реселлеров Ledger нет ни России, ни Ozon, поэтому все устройства на российских маркетплейсах приходят через посредников.

Можно ли проверить Ledger на закладку через Genuine Check?

Нет. Ledger сама пишет, что Genuine Check не обнаруживает физических изменений в устройстве, если защищённый чип родной. Закладку видно только при вскрытии, а вскрывать стоит после переноса средств.

Какие модели Ledger находили с закладкой?

По открытому реестру Карпелеса на 16 октября 2026 года — Nano X, Flex и Stax. Nano S Plus в реестре встречается только как подделка.

Что делать, если Ledger куплен на Ozon или другом маркетплейсе?

Купить новое устройство у производителя или авторизованного реселлера, создать на нём новый кошелёк с новой фразой и перевести туда все монеты. Старую фразу больше не использовать.

Можно ли обновить прошивку Ledger по ссылке из письма?

Нет. Прошивку обновляют только в официальном приложении Ledger Wallet. Ledger никогда не звонит, не пишет напрямую и не спрашивает фразу из 24 слов.

Сколько украли через заражённые Ledger?

По оценке Bitquery, около $102 млн из 324 кошельков 9 октября 2026 года, почти всё — у покупателей CryptoBilis. Ledger общую сумму не подтверждает.