Trezor отказывается от части реселлеров, MediaMarkt остановил продажи Ledger: что меняется для покупателей кошельков

Что объявил Trezor

Во вторник, 13 октября, в 13:32 UTC Trezor написал в X, что сокращает число реселлеров, чтобы тщательнее проверять тех, кто останется. За две минуты до этого коммерческий директор компании Дэнни Сандерс выложил письмо, которое получили партнёры. Главное в нём:

• у реселлеров, получивших письмо, авторизация заканчивается 1 января 2027 года;
• новых поставок им нет уже с даты письма;
• остатки можно продавать до 1 января, так что «чёрная пятница» и праздничный сезон пройдут как обычно;
• оставшиеся партнёры получат обновлённый договор и более строгие проверки того, откуда берутся устройства, как они хранятся и через чьи руки проходят.

Сандерс объясняет, что сеть должна стать достаточно маленькой, чтобы компания могла проверить каждого, кто в ней остаётся. По его словам, решение не оценивает ни бизнес конкретных продавцов, ни безопасность устройств: страны разбирали по одной и считали, скольких партнёров реально контролировать. Сколько реселлеров теряют статус и в каких странах, Trezor не сообщил. Компания обещает вернуться к решению, если обстоятельства изменятся.

Отдельно Trezor подчёркивает: свидетельств того, что его устройства кто-то вскрывал, нет ни одного, шаг сделан из осторожности. Реселлера CryptoBilis из Куала-Лумпура, который продавал кошельки в Малайзии, Индонезии и на Филиппинах и с которого началась вся история, компания убрала из своего списка ещё 12 октября. Жалоб на устройства Trezor от этого продавца не поступало.

Что Ledger рассказала о закладке

В тот же день команда безопасности Ledger Donjon впервые описала закладку, найденную в кошельках от CryptoBilis. По её словам, внутри корпуса стоит отдельный модуль, который читает данные, идущие на экран. Когда при первой настройке кошелёк показывает 24 слова, микроконтроллер распознаёт их и отправляет по сотовой сети LTE через заранее подготовленную eSIM.

Защищённый чип, операционная система, транзакции и подписи при этом не тронуты. Поэтому кошелёк выглядит исправным и ведёт себя как обычно. Мы уже разбирали, как Ledger подтвердила аппаратную закладку в кошельке от CryptoBilis и почему проверка подлинности такую схему не видит.

Что ещё сказала Ledger:

• все подтверждённые кражи связаны с устройствами, проданными через CryptoBilis;
• сообщения о закладках в кошельках из других мест компания изучает, но краж по ним не подтвердила;
• признаков взлома собственной инфраструктуры и сервисов нет;
• суммы потерь, которые ходят по сети, посчитаны третьими лицами, Ledger их не проверяла.

Оценки такие: исследователь Specter насчитал больше $86 млн, Bitquery называет около $92,9 млн с 311 кошельков, из них примерно $70,5 млн в сети TRON. Seed-фраза, которую показал такой кошелёк, скомпрометирована навсегда, и помогает только новое устройство с новой фразой. Монеты при переезде можно перевести как есть или сразу сменить через обменник криптовалют с выплатой на новый адрес.

MediaMarkt остановил продажи Ledger в Европе

История вышла за пределы Юго-Восточной Азии. С 13 октября MediaMarktSaturn, одна из крупнейших в Европе сетей магазинов электроники, не продаёт Ledger ни в магазинах, ни на сайте: покупатель из Германии сообщил, что нашёл в устройстве закладку. Представитель сети сказал изданию The Block, что компания относится к случаю очень серьёзно. Ledger уточнила, что потери средств в этом случае нет.

Рядом ходят сообщения, которые никто не подтвердил. В пятницу, 9 октября, пользователь X под именем Johannes написал, что нашёл посторонние провода и сотовые модули в двух Ledger из разных магазинов MediaMarkt. Во вторник бывший глава Mt. Gox Марк Карпелес сообщил о закладке в Ledger Flex, купленном в аэропорту Сингапура. Связь этих находок с CryptoBilis компания Ledger не подтверждала.

Что делать, если кошелёк куплен у посредника

Советы Ledger относятся к покупателям CryptoBilis, но логика подходит любому, кто сомневается в своём устройстве:

• ненастроенный кошелёк не включать и не настраивать, написать в поддержку производителя;
• настроенный считать скомпрометированным: завести новый кошелёк с новой seed-фразой на устройстве, купленном напрямую, и перевести туда монеты;
• если деньги уже пропали, сначала связаться с полицией и поддержкой, а потом решать, вскрывать ли корпус;
• самому разбирать устройство без необходимости не стоит: Ledger выложила инструкцию по осмотру, но предупреждает, что так можно повредить кошелёк, а Trezor прямо просит корпус не вскрывать и обращаться в поддержку.

Перенос старой фразы на новое устройство ничего не даёт: украдены слова, а не железо. Как записать и где держать новую фразу, чтобы её не увидела ни камера, ни облако, мы описали в гайде о том, как хранить seed-фразу.

На панике вокруг закладок уже зарабатывают. Ledger напоминает, что никогда не звонит, не пишет первой и не спрашивает фразу. Недавний фишинговый пост с аккаунта Coldcard о «срочной миграции» показал, что поддельный призыв может прийти даже с настоящего аккаунта производителя.

Как перевести монеты на новый кошелёк и обменять их без регистрации

Переезд на новую seed-фразу удобно совместить с наведением порядка: собрать остатки из разных сетей в одну монету и сразу получить её на адрес нового кошелька. Заводить ради этого аккаунт на бирже и держать там монеты не нужно.

В VertEXchange для обмена нет аккаунта, почты и телефона. Вы выбираете пару, указываете адрес нового кошелька и видите курс и сумму до отправки, а монеты приходят сразу на ваш адрес. Так можно сделать обмен USDT TRC20 на биткоин без аккаунта или перевести эфир в биткоин с выплатой на новый кошелёк.

• Фиксированный курс держится около 15 минут, этого хватает, чтобы спокойно отправить перевод.
• VertEXchange не хранит ваши монеты: выплата идёт на указанный вами адрес.
• Если обмен не состоится, монеты вернутся на адрес возврата.
• Персональные поля операции удаляются через 24 часа после завершения, история обменов остаётся только в вашем браузере.
• Чат поддержки есть на каждой странице, вопрос решается по коду обмена.

Частые вопросы

Что изменится у Trezor с 1 января 2027 года?

Реселлеры, получившие письмо компании, потеряют статус авторизованных продавцов. Новый товар им уже не отгружают, остатки можно продавать до конца 2026 года. Оставшихся партнёров ждут обновлённый договор и более строгие проверки.

Почему Trezor сокращает реселлеров, если его устройства не взломаны?

Компания называет это мерой предосторожности после истории с Ledger и CryptoBilis. По словам коммерческого директора Дэнни Сандерса, сеть должна быть такой, чтобы каждого партнёра можно было проверить.

Как работала закладка в кошельках Ledger?

По данным Ledger Donjon, модуль внутри корпуса читал данные, идущие на экран. При настройке он распознавал 24 слова и отправлял их по сети LTE через eSIM. Защищённый чип и прошивку закладка не трогала.

Почему MediaMarkt перестал продавать Ledger?

Покупатель из Германии сообщил о закладке в купленном устройстве. С 13 октября MediaMarktSaturn остановил продажи в магазинах и онлайн. О пропаже средств в этом случае не сообщалось.

Безопасно ли покупать аппаратный кошелёк у реселлера?

Риск выше, чем при покупке у производителя: устройство проходит через лишние руки. Закладка от CryptoBilis не меняла прошивку, поэтому штатная проверка подлинности её не замечала. Надёжнее всего заказывать на сайте производителя.

Что делать, если seed-фраза могла утечь?

Завести новый кошелёк с новой фразой на устройстве, купленном напрямую, и перевести туда все монеты. Старая фраза остаётся опасной навсегда, даже если деньги пока на месте.