Ledger с Avito, который не был запечатан
Март 2025. Холдер из Тюмени покупает «новый в коробке» Ledger Nano X на Avito за 7 500 рублей — на 3 000 ниже официальной цены. Упаковка выглядит идеально. Он настраивает, генерирует «новый» seed из 24 слов, отображённый на экране устройства, переводит 34 000 USD в BTC. Через две недели кошелёк опустошён.
Продавец предварительно инициализировал устройство известным ему seed-ом, аккуратно переупаковал. «Новый seed» при первой загрузке — это seed продавца, отображённый как свежий.
Почему эту атаку сложнее всего заметить
Устройство работает. Поток установки выглядит нормально. Seed отображается на экране устройства — ровно как обещает модель безопасности. Единственное отличие: оператор знал seed до того, как жертва открыла коробку. Как только жертва пополняет адрес, выведенный из этого seed, оператор сливает.
Четыре правила покупки аппаратного кошелька
- Только с сайта производителя. Ledger:
ledger.com. Trezor:trezor.io. Coldcard:coinkite.com. Никогда Avito, никогда Wildberries (третьи продавцы), никогда «надёжный знакомый». 3 000 рублей экономии — самая дешёвая часть будущей потери. - Откажитесь от любого «нового» ниже официальной цены. Производители жёстко контролируют ретейл. 30 % скидка на Ledger — доказательство, что что-то не так.
- Если приходится б/у — сначала wipe. Загрузите, намеренно введите PIN неправильно три раза для очистки (Ledger), или запустите factory reset (Trezor). Затем переинициализируйте и сгенерируйте свежий seed. Wipe-then-init — единственный способ убедиться, что seed, показанный вам, не известен предыдущему владельцу.
- Осмотрите упаковку. Ledger использует tamper-evident пломбы на новых моделях. Trezor — голографическую наклейку. Сверьте с фотографиями свежей упаковки на сайте производителя — но понимайте, что аккуратные переупаковщики могут реплицировать пломбы.
Опция восстановления
Если подозреваете пред-инициализированное устройство: не пополняйте даже маленькими суммами. Wipe, переинициализация, проверка, что новый seed отличается от первоначально показанного. Если средства уже на нём — переведите в течение часа на адреса, выведенные из свежеинициализированного устройства.
Правило, которое работает
Любое аппаратное устройство дешевле производителя на больше 5 USD — для меня бэкап для крохотных тестовых сумм. Высокобалансное — всегда напрямую с сайта производителя, оплата картой, доставка на реальный адрес.