Краткий ответ

Украденный аппаратный кошелёк — не крипто-loss событие само по себе — secure element устройства держит ключ, но требует PIN для доступа. После 3 неправильных попыток PIN устройство wipe-ит само себя. Если у вас есть seed-phrase backup, можете восстановить средства на новое устройство немедленно, и вор ничего не получает. Фактическое loss-событие — "украденный аппаратный кошелёк + вор знает ваш PIN или подглядел его". Mitigation: восстановите из seed на новое устройство, переведите средства на свежий seed (старый seed потенциально скомпрометирован, если вор изощрённый).

Реалистичная модель угроз

Для случайного вора, нашедшего ваш Ledger в украденном рюкзаке: бесполезно. Они не знают PIN; 3 неправильных попытки wipe-ят устройство.

Для изощрённого атакующего, который знает, что у вас крипта, и специально украл устройство: более беспокоящее. Они могут попытаться side-channel атаки (decapsulation, voltage glitching, electromagnetic analysis). Paper 2018 года Ledger Donjon задокументировал некоторые side-channel атаки против старых моделей Ledger. Secure element Trezor Safe 3 оценен на сопротивление этим на уровне затрат "well-funded nation-state attacker".

Для вора, который наблюдал, как вы вводите PIN: устройство их. Они могут подписывать транзакции немедленно.

Немедленный ответ на кражу

Восстановите из seed-фразы на новый аппаратный кошелёк немедленно. Тот же seed воспроизводит те же адреса, поэтому можете видеть ваши балансы на новом устройстве. Затем — и это критично — сгенерируйте свежую seed-фразу, настройте новый кошелёк и переведите все средства из старого кошелька в новый кошелёк.

Почему перевод? Если старый аппаратный кошелёк был физически атакован изощрённым вором, оригинальная seed-фраза могла быть извлечена через side-channel. Переход на свежий seed устраняет этот риск. Стоимость: gas-комиссии для перевода. Польза: определённость.

Как выглядит "скомпрометированный seed"

Если вор имел устройство И ваш PIN: высокая вероятность seed скомпрометирован.

Если вор имел только устройство (без PIN exposure): низкая вероятность для случайного вора, средняя для изощрённого атакующего.

Если устройство никогда не покидало вашего поля зрения, но украдено кратко: низкая вероятность.

Для большей уверенности в компрометации: любой признак того, что кто-то был у вас дома, любая незнакомая транзакция на кошельке, любой паттерн, предполагающий targeted theft.

Страхование и правоохранительные органы

Для российских холдеров с существенными крипто-потерями от кражи: подайте заявление в Кибер-полицию (cybercrime.gov.ua для Украины, МВД для РФ). Кража аппаратного кошелька сама по себе редко восстановима, но документация нужна, если у вас есть полис страхования имущества, покрывающий крипту (редко в РФ).

Большинство российских страховых полисов имущества не покрывают крипто-кражу. Coincover и Lloyd's underwriters предлагают крипто-специфическое theft insurance, с годовыми премиями 0,5-2% страхуемой стоимости.

Профилактика

Храните аппаратный кошелёк в огнестойком сейфе дома. Не носите его в повседневном рюкзаке. Для путешествий устройство может остаться дома — восстанавливайте из seed-фразы только если фактически нужно подписывать во время путешествия.

Дополнительное чтение: Аппаратный кошелёк, Secure element.