Ledger с OLX, который только выглядел запечатанным

Март 2025. Житель Караганды покупает «новый в коробке» Ledger Nano X на OLX за 89 USD — примерно на 60 USD дешевле официальной цены в 149 USD. Упаковка выглядит идеально. Он настраивает устройство, получает на его экране «новую» seed-фразу из 24 слов и переводит на кошелёк 34 000 USD в BTC. Через две недели кошелёк опустошён.

Настоящий Ledger на родной прошивке нельзя заставить выдать заранее известный seed за только что созданный. Продавец поменял начинку: изменённая плата показывает при «настройке» заготовленную фразу, а коробку потом аккуратно запечатали заново. Такие устройства, как правило, не проходят проверку подлинности в Ledger Live — при первом подключении у него действительно выскочило предупреждение, и он его закрыл. Есть и совсем грубый вариант той же ловушки, без всякой возни с железом: в коробку кладут карточку восстановления с уже вписанными 24 словами и записку «используйте эту фразу».

Почему эту атаку сложнее всего заметить

Устройство работает. Настройка выглядит как обычно. Seed отображается на экране устройства — ровно как обещает модель безопасности, а единственное предупреждение, которое могло бы всё остановить, легко смахнуть. Отличие одно: мошенник знал фразу ещё до того, как жертва открыла коробку. Как только на адрес, полученный из этой фразы, приходят деньги, мошенник их выводит.

Пять правил покупки аппаратного кошелька

  • Только с сайта производителя. Ledger: ledger.com. Trezor: trezor.io. Coldcard: coinkite.com. Никаких барахолок вроде OLX, никаких сторонних продавцов на маркетплейсах, никаких «надёжных знакомых». Сэкономленные несколько десятков долларов — самая дешёвая часть будущей потери.
  • Откажитесь от «нового» устройства заметно ниже официальной цены, если продаёт не производитель. Распродажи у Ledger бывают, но проходят они на ledger.com. Запечатанный Nano X со скидкой 40 % от случайного продавца — сигнал тревоги, а не удачная покупка.
  • Если устройство досталось не от производителя, сброса мало. Сброс (три неверных PIN-кода на Ledger, сброс до заводских настроек на Trezor) и новый seed защищают только от seed-фразы прежнего владельца на подлинном железе. Против изменённой начинки это не помогает. Пройдите проверку подлинности в приложении производителя и при любом предупреждении остановитесь и ничего на устройство не переводите.
  • Никогда не используйте seed-фразу, пришедшую в коробке. Подлинное устройство всегда само генерирует фразу и показывает её на своём экране. Заранее напечатанная или заполненная карточка восстановления означает, что устройство скомпрометировано.
  • Не полагайтесь на упаковку. Пломбы и наклейки аккуратный переупаковщик умеет скопировать. Программная проверка подлинности в приложении производителя — гораздо более надёжный сигнал, чем внешний вид коробки.

Что делать, если устройство уже куплено

Если подозреваете, что устройство подготовлено заранее: не пополняйте его даже маленькими суммами и не пытайтесь «вылечить» сбросом — изменённое устройство и после сброса снова покажет «свежую» заготовленную фразу. Отложите его. Если средства уже на нём — сразу переведите их на адреса нового seed, созданного на устройстве, купленном напрямую у производителя.

Правило, которое работает

Любой аппаратный кошелёк, полученный не напрямую от производителя, годится разве что для проверки с копеечными суммами. Кошелёк для серьёзных денег покупайте только на сайте производителя, с доставкой на свой настоящий адрес.