Бывший глава Mt. Gox Марк Карпелес обнаружил шпионский имплант в аппаратном кошельке Ledger Nano X, купленном в немецком магазине MediaMarkt.
Ledger Nano X received from @0xJohannes_ (who bought it from MediaMarkt in Germany) confirmed bugged (he sent another one to @Ledger). This is not news and action has already been taken, the next question will be to understand how this ended in Germany… https://t.co/UrmqJQwCsp
— Mark Karpelès (@MagicalTux) October 15, 2026
Кошелек исследователю передал пользователь X под ником Johannes. 12 октября тот сообщил о посторонних кабелях и LTE-модуле в двух Nano X, купленных в разных магазинах сети. Один экземпляр он отправил Карпелесу, второй — в Ledger.
Посылка дошла до исследователя 15 октября. В тот же день в эфире Unchained Карпелес рассказал, что плату установили немного иначе, чем в образцах из Юго-Восточной Азии. Однако, по его словам, «это наверняка тот же имплант».
Там же эксперт рассказал о Ledger Flex, о котором писал 13 октября. Кошелек купили у авторизованного реселлера Metapod в сингапурском аэропорту Чанги. Владелец заметил на корпусе подозрительные следы и отправил устройство на проверку, не начав им пользоваться.
Имплант во Flex адаптировали под эту модель, но он состоял из тех же трех чипов: микроконтроллера для считывания данных с экрана, сотового модема и eSIM для передачи информации.
Карпелес: имплант рассчитан на массовое производство
По словам исследователя, конструкция вредоносных модулей стала совершеннее. В ранних образцах компоненты подключали к устройству проводами. В новых версиях используется готовая печатная плата, которая встает в корпус практически без подгонки.
Карпелес считает, что разработчики импланта потратили на исследования несколько месяцев и располагали существенным финансированием. Раньше подобные импланты стоили дорого и применялись точечно, но новую версию создали для массового производства. Поэтому эксперт ожидает новых случаев.
Ledger не подтвердила компрометацию немецких устройств
13 октября MediaMarktSaturn приостановила продажу продукции Ledger в магазинах и онлайн. По данным производителя, решение приняли по согласованию с ним.
На следующий день Ledger сообщила, что проверила устройства из магазинов и со складов дистрибьюторов в Германии, включая точки, названные в сети. Следов вмешательства в них не нашли. При этом компания уточнила, что пока не изучила кошельки, фотографии которых появились в интернете.
В заявлении от 15 октября Ledger повторила, что все проверенные образцы оказались чистыми. Ранее производитель аппаратных кошельков заявлял, что все подтвержденные случаи хищения связаны с устройствами реселлера CryptoBilis из Юго-Восточной Азии.
Карпелес признал, что не может с уверенностью сказать, были ли кошельки Johannes единичными случаями.
Ledger также попросила авторизованных реселлеров и дистрибьюторов временно прекратить продажи в Юго-Восточной Азии и Гонконге.
Кроме того, компания ужесточила правила для партнеров: устройства больше нельзя выставлять на открытых витринах, их следует хранить в подсобных помещениях до передачи покупателю. Ledger напомнила и о запрете на перепродажу возвращенных кошельков, даже если упаковка выглядит нетронутой.
Напомним, аналитическая компания Bitquery оценила ущерб от атаки на пользователей Ledger в $93,2 млн. В Chainalysis заявили, что одним из крупнейших пострадавших стал сам скамер, который предположительно потерял 60 BTC (около $4,8 млн).