Реклама, що коштувала 8,2 BTC
Квітень 2025. Холдер з Запоріжжя гуглить «Ledger Live download», бо щойно отримав новий Ledger Nano S Plus. Перший результат — Google Ad: ledger-live-app.com. Він клацає, завантажує «Ledger Live» .dmg, проходить встановлення. Фейковий застосунок просить ввести 24 слова «для верифікації пристрою». Дрейнер чекає два дні, потім забирає 8,2 BTC.
Лазівка Google Ads
У Google є політика проти імітації, але enforcement реактивний. Шахрай купує рекламу за «ledger live download», «trezor suite download», «exodus wallet» — і реклама крутиться годинами або днями, поки ревью Google її зловить. Ціна кліку висока, але конверсія робить це прибутковим.
Чотири правила для завантаження будь-якого гаманцевого ПЗ
- Пропускайте всі рекламні результати Google. Прокручуйте повз рекламу до органіки. Перший органічний результат — майже завжди справжній.
- Перевіряйте URL символ за символом.
ledger.com— справжній.ledger-live.com,ledger-app.com,ledgerlive-app.com,ledger-wallet.io— усі фейк. - Перевірте підпис завантаження. Ledger публікує PGP-підписані контрольні суми для кожного релізу.
- Справжній Ledger Live не просить 24 слова при встановленні. Потік встановлення просить підтвердити підключення пристрою, пройти PIN-сетап і резервне копіювання seed — але фраза генерується і відображається на екрані пристрою, а не вводиться в комп'ютер.
Що робити, якщо ввели 24 слова
Seed назавжди скомпрометований. Встановіть новий Ledger з новим seed. Переведіть кожен актив на адреси, виведені з нового seed, негайно. Продайте скомпрометований пристрій або використайте для не-грошових задач (testnet, розробка).
Правило, якого я дотримуюсь
ledger.com, trezor.io, bitcoin.org і URL двох бірж збережені закладками в Firefox. Ніколи не набираю ці URL і не шукаю. Закладка або нічого.