Ledger с Avito, который не был запечатан

Март 2025. Холдер из Тюмени покупает «новый в коробке» Ledger Nano X на Avito за 7 500 рублей — на 3 000 ниже официальной цены. Упаковка выглядит идеально. Он настраивает, генерирует «новый» seed из 24 слов, отображённый на экране устройства, переводит 34 000 USD в BTC. Через две недели кошелёк опустошён.

Продавец предварительно инициализировал устройство известным ему seed-ом, аккуратно переупаковал. «Новый seed» при первой загрузке — это seed продавца, отображённый как свежий.

Почему эту атаку сложнее всего заметить

Устройство работает. Поток установки выглядит нормально. Seed отображается на экране устройства — ровно как обещает модель безопасности. Единственное отличие: оператор знал seed до того, как жертва открыла коробку. Как только жертва пополняет адрес, выведенный из этого seed, оператор сливает.

Четыре правила покупки аппаратного кошелька

  • Только с сайта производителя. Ledger: ledger.com. Trezor: trezor.io. Coldcard: coinkite.com. Никогда Avito, никогда Wildberries (третьи продавцы), никогда «надёжный знакомый». 3 000 рублей экономии — самая дешёвая часть будущей потери.
  • Откажитесь от любого «нового» ниже официальной цены. Производители жёстко контролируют ретейл. 30 % скидка на Ledger — доказательство, что что-то не так.
  • Если приходится б/у — сначала wipe. Загрузите, намеренно введите PIN неправильно три раза для очистки (Ledger), или запустите factory reset (Trezor). Затем переинициализируйте и сгенерируйте свежий seed. Wipe-then-init — единственный способ убедиться, что seed, показанный вам, не известен предыдущему владельцу.
  • Осмотрите упаковку. Ledger использует tamper-evident пломбы на новых моделях. Trezor — голографическую наклейку. Сверьте с фотографиями свежей упаковки на сайте производителя — но понимайте, что аккуратные переупаковщики могут реплицировать пломбы.

Опция восстановления

Если подозреваете пред-инициализированное устройство: не пополняйте даже маленькими суммами. Wipe, переинициализация, проверка, что новый seed отличается от первоначально показанного. Если средства уже на нём — переведите в течение часа на адреса, выведенные из свежеинициализированного устройства.

Правило, которое работает

Любое аппаратное устройство дешевле производителя на больше 5 USD — для меня бэкап для крохотных тестовых сумм. Высокобалансное — всегда напрямую с сайта производителя, оплата картой, доставка на реальный адрес.