Un portofel offline cu SIM ascuns și-a trimis singur cheile

Pe 9 octombrie 2026, aproape 5 milioane de dolari au plecat dintr-o singură mișcare de pe trei adrese de bitcoin. Banii stăteau în portofele hardware Ledger , dispozitive create cu un singur scop: ca cheile de criptomonede să nu atingă niciodată internetul. Cel mai probabil au plecat printr-o cartelă SIM ascunsă în carcasă.

Partea cea mai ciudată nu e suma. Proprietarul banilor era el însuși un escroc. Firma de analiză blockchain Chainalysis l-a numit una dintre cele mai mari victime ale valului de furturi și a urmărit de unde venea cei 60 de bitcoin ai lui. Plătea oameni să scrie recenzii false, apoi cerea un comision înainte să le dea ce câștigaseră. Pe 22 septembrie a mutat banii în trei adrese Ledger. Pe 9 octombrie, altcineva i-a luat.

Chainalysis nu spune de unde și-a cumpărat escrocul dispozitivele. Dar chiar în aceeași zi Ledger a deschis o anchetă privind pierderile raportate de cumpărători din Asia de Sud-Est. Pe 10 octombrie compania a confirmat că într-un portofel al unei victime se găsea un implant străin, iar pe 13 a explicat exact ce a descoperit: un microcontroler în plus și un modem celular cu eSIM, adică o cartelă SIM lipită direct pe placă. Un dispozitiv făcut să trăiască offline ieșea pe tăcute online și își trimitea singur cheile.

Douăzeci și patru de cuvinte pe un ecran

Un portofel hardware arată ca un stick USB cu un ecran minuscul și câteva butoane. Înăuntru e un cip securizat care păstrează cheia secretă și semnează singur transferurile. Laptopul sau telefonul îi dă doar o tranzacție pregătită și o primește înapoi semnată. Cheia nu iese niciodată din cip, așa că un malware de pe laptop nu o poate atinge.

Schema are o ieșire de urgență fără de care nu se poate. Portofelele se pierd sau se sparg. Pentru acest caz, la prima configurare dispozitivul afișează pe ecran 24 de cuvinte, iar proprietarul le copiază pe hârtie.

Secretul principal al unui portofel apare în text clar doar în câteva momente rare. Cel mai des e prima configurare, când cuvintele se văd pe ecran, și mai rar recuperarea, când ele sunt introduse înapoi. Atacul e construit în jurul primului dintre aceste momente.

Un telefon în interiorul portofelului

Pe 13 octombrie, echipa de securitate a Ledger, Ledger Donjon, a descris cum funcționează implantul. Un microcontroler din carcasă urmărește ce apare pe afișaj, decodează cuvintele seed și le trimite prin LTE, internetul mobil obișnuit, exact ca pe un telefon. Nu se atinge nici de cipul securizat, nici de firmware și nu modifică tranzacțiile sau semnăturile. Portofelul nu observă nimic. Își păzește credincios cheia, în timp ce cele 24 de cuvinte care pot reface cheia sunt de mult în mâini străine.

De aceea verificarea oficială de autenticitate nu ajută aici. Potrivit Ledger, funcția Genuine Check nu poate detecta componente adăugate atât timp cât cipul securizat original este la locul lui. Ea verifică cipul. Nu și vecinii lui.

Nu erau amatori. În prima variantă, cercetătorii de la Tibane Labs au găsit un microcontroler STM32, un eSIM de 2 pe 2 milimetri și un modul radio ecranat. Ca să facă loc, bateria originală fusese înlocuită cu una mai mică, care alimenta și portofelul, și „spionul". În a doua variantă, marcajele cipurilor fuseseră răzuite, iar placa era strecurată sub afișaj, unde de obicei stă o garnitură de burete. Era o placă flexibilă produsă în serie, ca la fabrică, nu ceva lipit de mână la masa din bucătărie.

Un magazin cu firma potrivită la ușă

Ledger leagă toate pierderile confirmate de un singur vânzător, CryptoBilis, un retailer din Malaezia. Nu era un revânzător oarecare de piață de vechituri: la 9 octombrie figura ca revânzător oficial Ledger în Indonezia, Malaezia și Filipine. Ancheta nu a stabilit încă cine a deschis cutiile și unde, pe drumul de la fabrică sau într-un depozit.

Dar povestea nu a rămas în Asia. În Germania, un client obișnuit a cumpărat un portofel de la MediaMarkt, un mare lanț de electronice, și a găsit înăuntru un „spion". N-a pierdut bani, iar lanțul a scos Ledger din magazine și de pe site. Mark Karpelès, fostul șef al bursei Mt. Gox, a scris că a găsit un implant într-un Ledger Flex cumpărat dintr-un magazin din aeroportul din Singapore, deși Ledger nu a confirmat o legătură între acel dispozitiv și CryptoBilis. Ledger însuși a cerut vânzătorilor din șase țări din Asia de Sud-Est și din Hong Kong să scoată portofelele de pe rafturi până se termină verificările.

Nimeni nu știe cât s-a furat în total. După calculele unor cercetători care folosesc pseudonimele tanuki42 și Specter, între 72 de milioane și peste 86 de milioane de dolari au ajuns la adrese suspecte. Ledger spune clar că aceste cifre vin de la terți și că nu le-a verificat. Tether emite dolari digitali, numiți stablecoin-uri, și își poate îngheța monedele aflate la adresa altcuiva. A înghețat bani în valoare de 10 milioane de dolari legați de furt. Deocamdată, aceasta e singura sumă numită pe care cineva a reușit s-o oprească pe drum.

O cheie care nu poate fi schimbată

La Ledger, verificarea de autenticitate a ratat o placă în plus. La Keystone, alt producător de portofele hardware, hoții au furat chiar cheia din spatele unei asemenea verificări. Pe 20 octombrie, un atacator a pătruns pe site-ul companiei printr-o vulnerabilitate a unui instrument terț de monitorizare a datelor. Keystone a anunțat că au fost expuse datele a aproape 26.000 de cumpărători din 2024-2026: nume, date de contact, adrese de livrare și conținutul comenzilor. Frazele seed și cheile portofelelor, spune compania, nu au fost afectate.

O listă cu adresele de acasă ale celor care au cumpărat un dispozitiv pentru păstrarea criptomonedelor e periculoasă în sine. În Franța, hoții apar deja la ușa unor astfel de oameni , iar pistele le iau tocmai din asemenea baze de date scurse. Unele înregistrări n-ar fi trebuit să existe deloc. Conform politicii Keystone, ele trebuiau șterse după 180 de zile, dar instrumentul automat de ștergere s-a defectat. Nimeni n-a observat. „Nu ne-am respectat angajamentul de a șterge la timp datele clienților și ne asumăm responsabilitatea pentru această greșeală", a scris compania.

A doua pierdere e mai gravă. Atacatorul a luat și o cheie care e încorporată în fiecare dispozitiv la fabrică, pentru ca acesta să-și poată dovedi autenticitatea la o verificare online. Cheia aceasta nu poate fi schimbată în portofelele deja produse. Asta înseamnă că un fals care o poartă ar trece chiar de verificarea menită să-l prindă.

Keystone a hotărât să distrugă 18.835 de dispozitive nevândute, a oprit livrările și și-a mutat magazinul online pe precomenzi. Portofelele livrate înainte de 20 octombrie pot fi folosite fără griji dacă trec autentificarea, spune compania. Cine a primit un portofel după această dată ar trebui mai întâi să-l verifice suplimentar. Keystone avertizează și că nu va trimite niciodată mesaje prin care cere clienților să returneze un dispozitiv sau să-și mute fondurile: asemenea mesaje vin de la escroci.

Un lanț în care trebuie să ai încredere

Producătorii reacționează diferit. Trezor nu a găsit dispozitive proprii alterate, dar de la 1 ianuarie 2027 își restrânge rețeaua de revânzători, iar unele magazine vor pierde dreptul de a-i vinde portofelele. OneKey a renunțat la CryptoBilis ca partener și înlocuiește gratuit propriile portofele cumpărate acolo între 1 martie și 13 octombrie 2026.

Ledger sfătuiește să nu configurezi deloc dispozitivele CryptoBilis. Cine le are deja ar trebui să-și mute fondurile într-un portofel nou, cu o frază seed nouă, și să nu introducă niciodată vechile cuvinte pe un dispozitiv suspect. Ledger spune că serverele proprii și vânzările directe nu au fost compromise, iar până acum nimic nu contrazice asta. De aici și concluzia cea mai practică: cel mai sigur e să cumperi direct de la producător și să nu configurezi niciodată un portofel cu proveniență neclară.

Multe lucruri rămân necunoscute. Numărul victimelor nu a fost făcut public, iar cel care a lipit plăcile nu a fost găsit. Nici nu e clar cât de departe s-au răspândit exemplarele alterate dincolo de un singur vânzător.

Changpeng Zhao, cofondatorul Binance, a scris în ziua primelor rapoarte că păstrarea proprie a fondurilor vine cu responsabilități în plus. Totuși, clienții CryptoBilis își cumpăraseră portofelele de la un vânzător oficial și nicio atenție n-ar fi putut să-i facă să observe o placă ascunsă sub ecran.

Portofelul hardware îi promitea proprietarului că nu va mai avea nevoie să se încreadă într-o bursă sau într-o bancă. Octombrie a arătat că încrederea nu a dispărut, ci doar s-a mutat: acum trebuie să te încrezi în fabrică, în depozit, în magazin și în curierul care a ținut cutia în mână înaintea ta.