ოფლაინ კრიპტოსაფულემ საკუთარი გასაღებები თავად გასცა

2026 წლის 9 ოქტომბერს სამი ბიტკოინ-მისამართიდან ერთბაშად თითქმის 5 მილიონი დოლარი გაქრა. ფული Ledger -ის აპარატურულ საფულეებში ინახებოდა — მოწყობილობებში, რომლებიც ერთადერთი მიზნით არსებობს: კრიპტოგასაღებები ინტერნეტთან არასდროს შეეხოს. ფული, სავარაუდოდ, SIM-ბარათით გავიდა, რომელიც ვიღაცამ კორპუსის შიგნით დამალა.

ყველაზე უცნაური თანხა კი არ არის. ფულის მფლობელი თავად თაღლითი იყო. ბლოკჩეინ-ანალიტიკის კომპანია Chainalysis-მა ის კრიპტოქურდობის ტალღის ერთ-ერთ უდიდეს მსხვერპლად დაასახელა და მისი 60 ბიტკოინის წარმომავლობაც გამოიკვლია. ის ადამიანებს ყალბი მიმოხილვების დასაწერად უხდიდა, შემდეგ კი გამომუშავებული თანხის გადახდამდე საკომისიოს მოითხოვდა. 22 სექტემბერს ამონაგები სამ Ledger-მისამართზე გადაიტანა. 9 ოქტომბერს ეს თანხა სხვამ წაიღო.

Chainalysis არ წერს, საიდან იყიდა თაღლითმა მოწყობილობები. თუმცა იმავე დღეს Ledger-მა სამხრეთ-აღმოსავლეთ აზიის მომხმარებლების მიერ გამოცხადებული ზარალის გამო გამოძიება დაიწყო . 10 ოქტომბერს კომპანიამ დაადასტურა, რომ ერთი მსხვერპლის საფულეში უცხო იმპლანტი იდო, 13-ს კი ზუსტად აღწერა, რა იპოვა: დამატებითი მიკროკონტროლერი და eSIM-ით აღჭურვილი უჯრედული მოდემი — SIM-ბარათი, რომელიც პირდაპირ დაფაზეა მიყვანილი. ოფლაინ სამუშაოდ შექმნილი მოწყობილობა ჩუმად ინტერნეტში გადიოდა და საკუთარ გასაღებებს აგზავნიდა.

ოცდაოთხი სიტყვა ეკრანზე

აპარატურული საფულე USB-ფლეშკას ჰგავს, რომელსაც პატარა ეკრანი და რამდენიმე ღილაკი აქვს. შიგნით დაცული ჩიპია, რომელიც საიდუმლო გასაღებს ინახავს და გადარიცხვებს თავად ხელს აწერს. კომპიუტერი ან ტელეფონი მხოლოდ მომზადებულ ტრანზაქციას გადასცემს და ხელმოწერილს იბრუნებს. გასაღები ჩიპს არასდროს ტოვებს, ამიტომ კომპიუტერზე მოხვედრილი მავნე პროგრამა მას ვერ მიწვდება.

ამ სქემას გადარჩენის გზა სჭირდება. საფულეები იკარგება და ტყდება. ამ შემთხვევისთვის პირველადი გამართვისას მოწყობილობა ეკრანზე 24 სიტყვას აჩვენებს, მფლობელი კი მათ ქაღალდზე გადაიწერს.

საფულის მთავარი საიდუმლო ღია ტექსტად იშვიათ წუთებში ჩანს. ყველაზე ხშირად ეს პირველადი გამართვაა, როცა სიტყვები ეკრანზე ჩნდება, უფრო იშვიათად კი — აღდგენა, როცა მათ უკან აკრეფენ. შეტევა სწორედ პირველ მომენტზეა აგებული.

ტელეფონი საფულის შიგნით

13 ოქტომბერს Ledger-ის უსაფრთხოების გუნდმა, Ledger Donjon-მა, იმპლანტის მუშაობა აღწერა . კორპუსის შიგნით მიკროკონტროლერი დისპლეზე გამოსულ გამოსახულებას აკვირდება, სიდ-სიტყვებს ამოიცნობს და LTE-ით აგზავნის — ჩვეულებრივი მობილური ინტერნეტით, ტელეფონივით. დაცულ ჩიპსა და პროგრამულ უზრუნველყოფას ის არ ეხება, ტრანზაქციებსა და ხელმოწერებს არ ცვლის. საფულე არაფერს ამჩნევს. ის გულმოდგინედ იცავს თავის გასაღებს, 24 სიტყვა კი, რომლითაც ეს გასაღები აღდგება, დიდი ხანია უცხოების ხელშია.

ამიტომაც არის ოფიციალური ორიგინალობის შემოწმება აქ უსარგებლო. Ledger-ის თქმით, მისი Genuine Check ფუნქცია დამატებულ კომპონენტებს ვერ ამოიცნობს , სანამ ორიგინალური დაცული ჩიპი ადგილზეა. ის ჩიპს ამოწმებს, მის მეზობლებს კი — არა.

ეს ჰობისტები არ იყვნენ. პირველ ვარიანტში Tibane Labs-ის მკვლევრებმა იპოვეს STM32 მიკროკონტროლერი, 2-ჯერ-2 მილიმეტრიანი eSIM და ეკრანირებული რადიომოდული. ადგილის გასათავისუფლებლად ორიგინალური ბატარეა უფრო პატარით ჩაენაცვლებინათ, რომელიც საფულესაც კვებავდა და „ჯაშუშსაც“. მეორე ვარიანტში ჩიპებზე წარწერები იყო გადაფხეკილი, დაფა კი დისპლეის ქვეშ იდო, იქ, სადაც ჩვეულებრივ ქაფის შუასადები დევს. ეს იყო მოქნილი დაფა, დამზადებული სერიულად, ქარხნულად, და არა სამზარეულოს მაგიდასთან ხელით შედუღებული.

მაღაზია სწორი აბრით

Ledger ყველა დადასტურებულ ზარალს ერთ გამყიდველს, მალაიზიურ ბითუმ-საცალო კომპანია CryptoBilis-ს უკავშირებს. ეს რომელიმე შემთხვევითი ბაზრობის გადამყიდველი არ იყო: 9 ოქტომბრისთვის ის ინდონეზიაში, მალაიზიასა და ფილიპინებში Ledger-ის ოფიციალურ რეგისტრირებულ გამყიდველად ირიცხებოდა. გამოძიებას ჯერ არ დაუდგენია, ვინ და სად გახსნა ყუთები — ქარხნიდან გამოსვლისას თუ საწყობში.

მაგრამ ამბავი აზიაში არ დარჩენილა. გერმანიაში ჩვეულებრივმა მყიდველმა MediaMarkt-ში, ელექტრონიკის დიდ ქსელში, საფულე იყიდა და შიგნით „ჯაშუში“ იპოვა. ფული არ დაუკარგავს, ქსელმა კი Ledger მაღაზიებიდან და საიტიდან ამოიღო. Mt. Gox-ის ყოფილმა ხელმძღვანელმა მარკ კარპელესმა დაწერა, რომ სინგაპურის აეროპორტის მაღაზიაში ნაყიდ Ledger Flex-ში იმპლანტი იპოვა, თუმცა Ledger-მა ამ მოწყობილობის CryptoBilis-თან კავშირი არ დაადასტურა. თავად Ledger-მა სამხრეთ-აღმოსავლეთ აზიის ექვსი ქვეყნისა და ჰონგ-კონგის გამყიდველებს სთხოვა, შემოწმების დასრულებამდე საფულეები თაროებიდან ჩამოეღოთ .

საერთო მოპარული თანხა არავინ იცის. tanuki42-ისა და Specter-ის სახელით მოღვაწე მკვლევრების გამოთვლით, საეჭვო მისამართებზე 72-დან 86-ზე მეტ მილიონ დოლარამდე გადავიდა. Ledger პირდაპირ აცხადებს, რომ ეს ციფრები მესამე მხარისაა და მას გადაუმოწმებია. Tether ციფრულ დოლარებს, სტეიბლქოინებს, გამოსცემს და საკუთარ მონეტებს სხვის მისამართზეც ყინავს. მან ქურდობასთან დაკავშირებული 10 მილიონი დოლარის ოდენობის თანხა დაყინა . ჯერჯერობით ეს ერთადერთი დასახელებული თანხაა, რომლის გზაში შეჩერებაც მოხერხდა.

გასაღები, რომლის შეცვლაც შეუძლებელია

Ledger-თან ორიგინალობის შემოწმებამ დამატებული დაფა ვერ შეამჩნია. Keystone-ზე, აპარატურული საფულეების სხვა მწარმოებელზე, ქურდებმა თავად ის გასაღები მოიპარეს, რომელზეც ასეთი შემოწმებაა აგებული. 20 ოქტომბერს თავდამსხმელი კომპანიის საიტზე მესამე მხარის მონაცემთა მონიტორინგის ინსტრუმენტის ხარვეზით შეაღწია. Keystone-მა განაცხადა , რომ გაჟონა 2024–2026 წლების დაახლოებით 26 000 მყიდველის მონაცემები: სახელები, საკონტაქტო ინფორმაცია, მიტანის მისამართები და შეკვეთების შემადგენლობა. სიდ-ფრაზები და საფულის გასაღებები, კომპანიის თქმით, არ დაზიანებულა.

კრიპტოს შესანახი მოწყობილობის მყიდველთა სახლის მისამართების სია თავისთავად საშიშია. საფრანგეთში ყაჩაღები ასეთი ადამიანების სახლებში უკვე მიდიან და მინიშნებებს ზუსტად ამგვარი გაჟონილი ბაზებიდან იღებენ. ზოგი ჩანაწერი საერთოდ არ უნდა არსებულიყო. Keystone-ის საკუთარი პოლიტიკით, ისინი 180 დღის შემდეგ უნდა წაშლილიყო, მაგრამ ავტომატური წაშლის ინსტრუმენტი გაფუჭდა. ვერავინ შეამჩნია. „ჩვენ ვერ შევასრულეთ დაპირება მომხმარებლის მონაცემების დროულად წაშლის შესახებ და ამ შეცდომაზე პასუხისმგებლობას ვიღებთ“, — დაწერა კომპანიამ.

მეორე დანაკარგი უფრო მძიმეა. თავდამსხმელმა ისიც წაიღო, რაც ყოველ მოწყობილობაში ქარხანაშია ჩაშენებული, რათა მან ონლაინ შემოწმებისას თავისი ორიგინალობა დაამტკიცოს. უკვე დამზადებულ საფულეებში ეს გასაღები არ იცვლება. ანუ მისი მქონე გაყალბებული მოწყობილობა სწორედ იმ შემოწმებას გაივლის, რომელიც მის გამოსავლენად არსებობს.

Keystone-მა გადაწყვიტა, 18 835 გაუყიდავი მოწყობილობა გაანადგუროს, გაგზავნები შეაჩერა და ონლაინ მაღაზია წინასწარ შეკვეთებზე გადაიყვანა. 20 ოქტომბრამდე მიწოდებული საფულეები, კომპანიის თქმით, უსაფრთხოდ გამოიყენება, თუ ავთენტიფიკაციას გაივლიან. ვინც საფულე ამ თარიღის შემდეგ მიიღო, ჯერ დამატებით უნდა შეამოწმოს. Keystone ასევე აფრთხილებს, რომ მომხმარებლებს არასდროს გაუგზავნის შეტყობინებას მოწყობილობის დაბრუნების ან თანხის გადატანის თხოვნით: ასეთ შეტყობინებებს თაღლითები აგზავნიან.

ჯაჭვი, რომელსაც უნდა ენდო

მწარმოებლები სხვადასხვაგვარად რეაგირებენ. Trezor -მა საკუთარ მოწყობილობებში გაყალბება ვერ აღმოაჩინა, მაგრამ 2027 წლის 1 იანვრიდან გადამყიდველთა ქსელს ამცირებს და ზოგი მაღაზია მისი საფულეების გაყიდვის უფლებას დაკარგავს. OneKey -მ CryptoBilis პარტნიორობიდან ამოიღო და იქ 2026 წლის 1 მარტიდან 13 ოქტომბრამდე ნაყიდ საკუთარ საფულეებს უფასოდ ცვლის.

Ledger გირჩევს CryptoBilis-ის მოწყობილობები საერთოდ არ გაიმართოთ. ვისაც უკვე აქვს, ფული ახალ სიდ-ფრაზიან ახალ საფულეზე უნდა გადაიტანოს და ძველი სიტყვები საეჭვო მოწყობილობაზე არასდროს შეიყვანოს. Ledger აცხადებს, რომ მისი სერვერები და პირდაპირი გაყიდვები არ დაზიანებულა, და ჯერჯერობით ამას არაფერი ეწინააღმდეგება. აქედან ყველაზე პრაქტიკული დასკვნა: ყველაზე უსაფრთხო გზა მწარმოებლისგან პირდაპირ ყიდვაა, გაურკვეველი წარმომავლობის საფულეს კი არასდროს უნდა გაუკეთოთ გამართვა.

ბევრი რამ ჯერ უცნობია. მსხვერპლთა რაოდენობა გამჟღავნებული არ არის, დაფების შემდუღებელი კი ნაპოვნი არ არის. ისიც გაურკვეველია, ერთ გამყიდველს გარეთ გაყალბებული მოწყობილობები რამდენად გავრცელდა.

Binance-ის თანადამფუძნებელმა ჩანპენ ჯაომ პირველი ცნობების დღესვე დაწერა , რომ თვითმმართველი შენახვა დამატებით პასუხისმგებლობასაც ნიშნავს. მაგრამ CryptoBilis-ის მომხმარებლებმა საფულეები ოფიციალური გამყიდველისგან იყიდეს და რაც არ უნდა ფრთხილად ყოფილიყვნენ, ეკრანის ქვეშ დამალულ დაფას ვერ შეამჩნევდნენ.

აპარატურული საფულე მფლობელს პირობას აძლევდა, რომ ბირჟისა თუ ბანკის ნდობა აღარ დასჭირდებოდა. ოქტომბერმა აჩვენა, რომ ნდობა არ გამქრალა, უბრალოდ გადაინაცვლა: ახლა უნდა ენდო ქარხანას, საწყობს, მაღაზიას და კურიერს, რომელსაც ყუთი შენამდე ეჭირა.