Коротка відповідь

Ні. Навіть якщо оригінальна упаковка виглядає "новою нерозпечатаною", tamper-печатка ціла, продавець на OLX з високим рейтингом, і є значок "напишіть за підтвердженням оригінальності" — апаратні гаманці — одна з небагатьох електронік, яку ніколи не можна купувати б/у. Supply-chain атака тут занадто проста і занадто добре задокументована для відкидання.

Механізм атаки

Атакуючий купує справжній новий Ledger або Trezor, ініціалізує його з seed, який записує, робить factory-reset пристрою, перепаковує з "карткою скидання", що говорить "ваш пристрій був factory-reset для безпеки". Покупець розпаковує, бачить "factory-reset" повідомлення, генерує те, що вважає свіжим seed — але пристрій фактично переспівиористовує pre-recorded seed атакуючого під капотом, або прошивка була тихо модифікована для витоку seed під час setup.

Існує декілька варіантів: tampered firmware (модифікована для email-надсилання seed на віддалений сервер), pre-recorded seed (генерація "свіжого" повертає детермінований seed, який атакуючий вже знає), або просто заміна PCB пристрою схожою шкідливою версією.

Задокументовані випадки

Українські форуми крипто-спільноти і Reddit r/CryptoCurrency містять сотні звітів "купив б/у Ledger, втратив монети через три місяці" починаючи з 2018 року. Патерн постійний: покупець переказує крипту на адресу, проходять тижні, атакуючий чекає накопичення, потім зливає гаманець однією транзакцією.

Витік клієнтських даних Ledger 2020 року погіршив це: 270 000 адрес клієнтів злиті, надавши targeting-список для атак "фейковий Ledger box поштою на вашу адресу".

Математика витрат-вигоди

Ledger Nano S Plus, новий з Ledger.com через посередника, коштує близько 3 200 ₴. "OLX-Ledger зі знижкою 60%" економить вам 2 000 ₴. Ваш крипто-стек на цьому пристрої припустимо 200 000 ₴ - 20 млн ₴. Співвідношення економії до ризику перевернуте на 3-4 порядки. Купуйте нові з офіційного магазину. Вартість доставки нерелевантна.

Що робити, якщо вже купили б/у

Вважайте пристрій скомпрометованим. Не переказуйте крипту на його адреси. Використовуйте як "демо-пристрій" лише для тестування. Купіть новий пристрій з офіційного магазину для фактичного зберігання.

Подальше читання: Апаратний гаманець.