Блокчейн-аналитическая фирма Arkham Intelligence отследила перемещение 95.35 миллионов долларов украденной криптовалюты, связанной с масштабной supply chain атакой на аппаратные кошельки Ledger, проданные через юго-восточноазиатского реселлера CryptoBilis. Злоумышленник похитил средства с 1,486 адресов в период с 7 по 9 октября 2026 года, при этом большая часть кражи — 80.60 миллионов долларов — произошла за рекордные 51 минуту. Атакующий продолжает активно перемещать украденные активы: за последние 48 часов было переведено 13.84 миллиона долларов через множественные блокчейн-сети, миксеры и децентрализованные биржи. Расследование подтвердило наличие несанкционированных аппаратных имплантов в устройствах, проданных через CryptoBilis, способных перехватывать seed-фразы в момент первоначальной настройки кошелька.
📊 Ключевые факты: 95.35 миллиона долларов украдено с 1,486 адресов; 80.60 миллиона похищено за 51 минуту 9 октября; 9,529 ETH (23.27 миллиона долларов) отмыто через Tornado Cash; 10 миллионов USDT заморожены Tether; 30.44 миллиона остается в адресах атакующего; Ledger подтвердил hardware implant в устройствах CryptoBilis; Singapore police сообщили о 3.5 миллиона SGD потерь.
Согласно детальному анализу Arkham Intelligence, основная волна хищений произошла 9 октября 2026 года, начавшись в 05:07:48 UTC. В течение следующих 51 минуты атакующий собрал 80.60 миллиона долларов, включая 58.19 миллиона в USDT через 335 транзакций на блокчейне Tron. Этот взрывной темп кражи демонстрирует высокий уровень автоматизации и предварительной подготовки операции — злоумышленник уже имел доступ к приватным ключам сотен жертв и ждал оптимального момента для массового вывода средств.
Параллельно с кражами на Tron, в 05:54 UTC в одном блоке Bitcoin было переведено 203.26 BTC (16.73 миллиона долларов) с 112 адресов, что указывает на скоординированную атаку сразу на несколько блокчейн-сетей. К 15:00 UTC того же дня еще 14.14 миллиона долларов в USDT поступили на Tron-кошельки атакующего. До основной волны хищений, между 7 и 8 октября, злоумышленник получил 7.41 BTC (около 610,000 долларов) с 137 адресов, что можно считать тестовыми транзакциями или ранними кражами.
| Временной период | Сумма украдено | Активы | Детали транзакций |
|---|---|---|---|
| 7-8 октября | ~610,000 USD | 7.41 BTC | 137 адресов, подготовительная фаза |
| 9 октября, 05:07-05:58 UTC | 80.60 млн USD | USDT, BTC | 51 минута, 335 транзакций USDT, 112 BTC адресов |
| 9 октября, до 15:00 UTC | 14.14 млн USD | USDT | Дополнительные переводы на Tron |
| Последние 48 часов | 13.84 млн USD | Различные | Продолжающееся перемещение средств |
Предыдущие оценки потерь варьировались. Блокчейн-аналитическая фирма Bitquery в своем расследовании от 16 октября оценила украденную сумму в 102 миллиона долларов с 335 кошельков across шести сетей. Ledger официально не подтвердил общую сумму украденного или точное количество пострадавших клиентов, ограничившись заявлениями о проведении собственного расследования. Различия в оценках объясняются методологией подсчета и тем, какие именно транзакции были включены в анализ различными исследовательскими командами.
После первоначальной кражи атакующий немедленно начал конвертацию и перемещение украденных активов между различными блокчейн-сетями, используя sophisticated набор инструментов для отмывания средств. Arkham Intelligence отследила как минимум 69.19 миллиона долларов, прошедших через swaps и bridging транзакции. Значительная часть средств — 20.37 миллиона долларов в USDT — была конвертирована в USDD на блокчейне Tron, создавая дополнительный уровень анонимности через менее отслеживаемый стейблкоин.
Двадцать миллионов долларов в USDT были переведены с Tron на Ethereum через протокол USDT0. Другие транзакции конвертировали USDT и USDC с Tron, BNB Chain и Polygon в ETH, включая 8.95 миллиона долларов через Relay, 5.91 миллиона через Chainflip и 13.96 миллиона через более мелкие маршруты. Девятого октября Ethereum-кошельки, связанные с атакующим, получили 5,895 ETH (14.72 миллиона долларов) от bridges включая Relay, THORChain, NEAR Intents, Bridgers и Mayan. Затем злоумышленник конвертировал 11.30 миллиона долларов в bridged USDT в approximately 4,530 ETH через Rizzolver.
| Маршрут отмывания | Сумма | Инструменты |
|---|---|---|
| Tron → Ethereum через USDT0 | 20 млн USD | USDT0 bridge |
| USDT → USDD на Tron | 20.37 млн USD | Децентрализованные swaps |
| Множественные bridges → ETH | 14.72 млн USD | Relay, THORChain, NEAR Intents, Bridgers, Mayan |
| Bridged USDT → ETH | 11.30 млн USD | Rizzolver |
| Tornado Cash депозиты | 23.27 млн USD | 9,529 ETH через 559 транзакций |
Наиболее значительным каналом отмывания стал Tornado Cash, куда атакующий депонировал 9,529 ETH (23.27 миллиона долларов) через 559 отдельных транзакций. Депозиты были структурированы для обхода потенциальных лимитов и анализа паттернов: 63 перевода по 100 ETH, 307 переводов по 10 ETH, 156 переводов по 1 ETH и 33 транзакции по 0.1 ETH. Перед депозитами 8,102.6 ETH были перемещены из кошельков атакующего в 26 новых Ethereum-адресов, создавая дополнительный уровень запутывания следов.
Bitcoin переводы продолжались отдельно. Arkham отследила 102.15 BTC (8.33 миллиона долларов), покинувших кошельки атакующего через четыре транзакции. 27 октября часть в 17.97 BTC присоединилась к 52.51 BTC в unspent output, содержащем 70.47 BTC (5.67 миллиона долларов). Текущие данные фирмы показывают 4,932 ETH (11.49 миллиона долларов) и 111.28 BTC (8.96 миллиона долларов) в tagged адресах, связанных с атакующим. Еще 10,000,010 USDT остаются замороженными на Tron после вмешательства Tether 9 октября.
Расследование Ledger подтвердило наличие unauthorized hardware implant в скомпрометированных устройствах, проданных через CryptoBilis. Несанкционированный компонент был способен перехватывать recovery phrases (seed-фразы), отображаемые на экране устройства во время первоначальной настройки. Это означает, что злоумышленники получили физический доступ к устройствам до их продажи конечным пользователям и модифицировали аппаратную часть для кражи критически важной информации.
Механизм атаки предполагает, что имплант либо перехватывал данные, отображаемые на экране устройства, либо модифицировал процесс генерации seed-фразы, создавая известную атакующему последовательность слов. В обоих случаях жертвы, настраивающие свои новые аппаратные кошельки, неосознанно передавали полный контроль над своими активами злоумышленникам. Это объясняет, почему атакующий мог ждать недели или месяцы перед массовым хищением средств — он накапливал доступ к сотням кошельков, ожидая, пока пользователи переведут на них значительные суммы.
⚠️ Критический вектор атаки: Hardware implant перехватывает seed-фразы в момент первоначальной настройки устройства. Жертвы не подозревают о компрометации, так как кошельки функционируют нормально. Атакующий получает полный контроль над всеми активами и может выжидать оптимальный момент для кражи.
Ledger заявила, что каждое подтвержденное хищение, которое она расследовала, было связано с устройством, приобретенным через CryptoBilis. Однако компания не установила, как именно несанкционированные компоненты попали в затронутые устройства — на каком этапе supply chain произошла компрометация: при производстве, транспортировке, хранении или непосредственно у реселлера. Производитель ужесточил требования к безопасности реселлеров и приостановил авторизованные продажи аппаратных кошельков в нескольких юго-восточноазиатских рынках.
В связанном инциденте полиция Сингапура сообщила 28 октября о двух случаях скомпрометированных кошельков, связанных с потерями approximately 3.5 миллиона сингапурских долларов в криптовалюте. Предварительное расследование показало, что malicious components внутри затронутых устройств могли захватывать recovery phrases или приватные ключи пользователей. Это подтверждает географическую концентрацию атаки на юго-восточноазиатский регион и указывает на возможные дополнительные жертвы, которые еще не сообщили о кражах.
Ledger подчеркнула, что ее расследование не выявило доказательств компрометации внутренних систем или прямых каналов продаж компании. Это означает, что атака была сосредоточена исключительно на supply chain через стороннего реселлера, а не на инфраструктуре самого производителя. Компания проводит внутреннее расследование для определения точного механизма компрометации и предотвращения подобных инцидентов в будущем.
В ответ на инцидент Ledger внедрила несколько критических мер безопасности. Во-первых, компания ужесточила требования к авторизованным реселлерам, включая дополнительные проверки цепочки поставок и мониторинг целостности упаковки устройств. Во-вторых, были приостановлены продажи через CryptoBilis и проведены аудиты других реселлеров в регионе. В-третьих, Ledger выпустила рекомендации для пользователей,.purchase devices через авторизованные каналы, и инструктировала клиентов, купивших кошельки через CryptoBilis, немедленно перенести средства на новые устройства.
| Мера безопасности | Описание | Статус |
|---|---|---|
| Ужесточение требований к реселлерам | Дополнительные проверки supply chain и мониторинг | Внедрено |
| Приостановка продаж через CryptoBilis | Полная остановка авторизованных продаж | Действует |
| Аудит других реселлеров | Проверка целостности устройств в регионе | В процессе |
| Рекомендации пользователям | Инструкции по переносу средств на новые устройства | Опубликованы |
| Расследование механизма компрометации | Определение точки внедрения импланта | Продолжается |
Для пользователей, которые приобрели устройства Ledger через CryptoBilis, критически важно немедленно предпринять следующие действия: создать новый аппаратный кошелек из надежного источника, сгенерировать новую seed-фразу в безопасной среде, перевести все активы со старого устройства на новое, и никогда не использовать скомпрометированное устройство снова. Даже если средства еще не были украдены, атакующий имеет полный доступ к seed-фразе и может похитить активы в любой момент.
Инцидент с CryptoBilis подчеркивает фундаментальную уязвимость supply chain в индустрии аппаратных кошельков. Даже самые совершенные криптографические защиты бесполезны, если физическое устройство было скомпрометировано до попадания к конечному пользователю. Это создает дилемму для индустрии: как обеспечить безопасность устройств на всем пути от производителя к пользователю, особенно в регионах с менее строгим контролем за цепочками поставок.
Для Tether заморозка 10 миллионов USDT demonstrates growing cooperation между эмитентами стейблкоинов и правоохранительными органами в борьбе с криптопреступностью. Хотя это не возвращает средства жертвам, это ограничивает способность атакующего использовать украденные активы и может помочь в идентификации конечных бенефициаров через анализ последующих транзакций с замороженных адресов.
Расследование Arkham Intelligence продолжается, и аналитики продолжают отслеживать перемещение оставшихся средств. Тот факт, что атакующий все еще активно перемещает активы — 13.84 миллиона долларов за последние 48 часов — указывает на то, что операция по отмыванию денег далека от завершения. Использование множественных блокчейнов, bridges, децентрализованных бирж и миксеров типа Tornado Cash демонстрирует sophisticated подход к анонимизации украденных средств, что значительно усложняет работу правоохранительных органов по возврату активов жертвам.
Этот инцидент служит суровым напоминанием о важности проверки источников при покупке аппаратных кошельков и необходимости дополнительных мер предосторожности при настройке устройств. Пользователи должны всегда проверять целостность упаковки, наличие защитных пломб, и генерировать seed-фразы в максимально безопасной среде, минимизируя возможности для перехвата критической информации. В мире, где физическая компрометация устройства может привести к потере всех цифровых активов, бдительность и проверка становятся критическими компонентами общей стратегии безопасности.
«Безопасность аппаратного кошелька начинается не с момента его активации, а с момента выхода с завода. Если цепочка поставок скомпрометирована, даже самая совершенная криптография не спасет ваши активы. Доверие к hardware wallet должно быть основано на верифицированной целостности всего пути устройства от производителя к вашим рукам».
— Андреас Антонопулос, эксперт по Bitcoin и автор "Mastering Bitcoin"
