Киберпреступники начали использовать неожиданный вектор атаки — традиционную почту — чтобы украсть криптоактивы у владельцев аппаратных кошельков. В феврале 2026 года пользователи Trezor и Ledger по всему миру сообщили о получении официально выглядящих писем, требующих «обязательной верификации» через QR-код. Эти письма имитируют коммуникации от служб безопасности и содержат ссылки на поддельные сайты, предназначенные для кражи 24-словной seed-фразы.
⚠️ Важно: ни Trezor, ни Ledger никогда не запрашивают seed-фразу через email, письма или веб-сайты. Её ввод возможен только непосредственно на устройстве.
Мошенники отправляют физические письма на домашние адреса, используя фирменные бланки, логотипы и юридический язык. Пример из письма, полученного исследователем Дмитрием Смильянцем:
«Проверка аутентификации скоро станет обязательной частью Trezor. Чтобы избежать ограничений доступа к Trezor Suite, просканируйте QR-код и следуйте инструкциям на нашем сайте до 15 февраля 2026 года».
QR-код ведёт на сайт вроде trezor.authentication-check[.]io, который выглядит как официальный интерфейс настройки. После нескольких шагов жертву просят ввести свою seed-фразу — якобы для «подтверждения владения устройством».
«Доверие — это самая ценная валюта в кибербезопасности. И именно её мошенники подделывают лучше всего», — Брюс Шнайер, эксперт по кибербезопасности.
Физическая почта воспринимается как более надёжный канал, чем email или SMS. Кроме того, такие письма часто вызывают тревогу из-за:
Это создаёт иллюзию легитимности, особенно у менее технически подкованных пользователей.
Целевая аудитория не случайна. Обе компании ранее сталкивались с утечками:
Эти утечки дают злоумышленникам точные контактные данные для массовых рассылок.
Эксперты рекомендуют следующие меры:
Напомним: seed-фраза — это ключ ко всем вашим активам. Её нельзя вводить ни на каком сайте, приложении или форме.
Этот инцидент — часть более широкого тренда: перехода от чисто онлайн-атак к гибридным методам. Ранее, в 2021 году, хакеры уже рассылали поддельные устройства Ledger по почте, чтобы украсть seed-фразы во время первоначальной настройки.
Теперь вместо подмены устройства — подмена доверия через официальную корреспонденцию. Это показывает, что злоумышленники адаптируются к росту цифровой грамотности, обращаясь к старым, но проверенным каналам влияния.
Производители аппаратных кошельков усиливают предупреждения, но главная защита — осознанность пользователя. Как сказал один из исследователей: «Если вам прислали письмо, требующее срочных действий с вашим кошельком — это 99,9% фишинг».
Аппаратные кошельки созданы для того, чтобы быть простыми и надёжными. Их сила — в том, что они не требуют онлайн-взаимодействий для базовых операций. Любое письмо, нарушающее этот принцип, должно вызывать немедленное недоверие.
Помните: настоящий производитель никогда не попросит вас раскрыть секрет. Потому что в мире криптовалют — вы сами являетесь банком.
