«Бесплатное обновление», пришедшее почтой

Учебный сценарий: владелец кошелька получает официально выглядящее письмо и незапрошенное устройство. Инструкция предлагает ввести старые 24 слова «для переноса средств». Если устройство или связанный процесс перехватывает фразу, злоумышленник получает контроль над производными от неё счетами. У сценария нет реальных даты, города, клиента или суммы потерь.

Физический слой атаки

Бумажное письмо может использовать бренд, верные личные данные и качественную упаковку. Официальная страница Ledger о фишинговых кампаниях советует считать письмо, якобы пришедшее от Ledger по обычной почте, попыткой фишинга и никогда не вводить 24 слова нигде, кроме самого устройства.

Четыре правила

  • Не настраивайте незапрошенное устройство. Проверяйте замену через поддержку, открытую с сайта производителя. Инструкция Trezor по безопасности устройства рекомендует покупать в официальном магазине или у авторизованного продавца, осматривать упаковку и проходить официальную проверку при настройке.
  • Утечке 2020 года уже много лет. Письмо, которое вдруг ссылается на неё, чтобы обосновать замену устройства, использует утечку как декорацию. Ledger отвечал на утечку уведомлениями и предупреждениями клиентам, а не программой рассылки новых устройств.
  • Никогда не восстанавливайте seed на устройстве, которое вы не покупали сами. Восстановить seed на подлинном устройстве, заказанном у производителя, — нормально, и слова при этом вводятся на самом устройстве, а не на компьютере или телефоне. То же самое на устройстве, пришедшем по почте, — это передача seed тому, кто его собрал. А если вы действительно считаете, что старый seed под угрозой, ответ — совершенно новый seed, а не переписанный старый.
  • Проверяйте любое «официальное письмо» через сайт производителя. Сами наберите ledger.com и найдите программу в официальных объявлениях и на страницах поддержки Ledger. Не используйте ни адреса сайтов, ни QR-коды, ни телефоны из письма. Если программы там нет — письмо фейк.

Если использовали фейковое устройство

Считайте seed, введённый в недоверенное устройство или процесс, скомпрометированным. Прекратите его использовать, создайте новую фразу на устройстве из проверенного официального канала и в первую очередь переведите оставшиеся активы на новые адреса. Порядок действий зависит от активов и активности злоумышленника; при необходимости запросите инструкции у официальной поддержки.