Ledger з OLX, що не був запечатаний

Березень 2025. Холдер з Києва купує «новий у коробці» Ledger Nano X на OLX за 2 500 грн — на 1 000 нижче офіційної ціни. Упаковка виглядає ідеально. Він налаштовує, генерує «новий» seed з 24 слів, відображений на екрані пристрою, переводить 34 000 USD у BTC. Через два тижні гаманець спустошений.

Продавець попередньо ініціалізував пристрій відомим йому seed-ом, акуратно переупакував. «Новий seed» при першому завантаженні — це seed продавця, відображений як свіжий.

Чому цю атаку складніше за все помітити

Пристрій працює. Потік встановлення виглядає нормально. Seed відображається на екрані пристрою — рівно як обіцяє модель безпеки. Єдина відмінність: оператор знав seed до того, як жертва відкрила коробку. Як тільки жертва поповнює адресу, виведену з цього seed, оператор зливає.

Чотири правила покупки апаратного гаманця

  • Лише з сайту виробника. Ledger: ledger.com. Trezor: trezor.io. Coldcard: coinkite.com. Ніколи OLX, ніколи rozetka (треті продавці), ніколи «надійний знайомий». 1 000 грн економії — найдешевша частина майбутньої втрати.
  • Відмовтесь від будь-якого «нового» нижче офіційної ціни. Виробники жорстко контролюють ретейл. 30 % знижка на Ledger — доказ, що щось не так.
  • Якщо доводиться б/у — спочатку wipe. Завантажте, навмисно введіть PIN неправильно три рази для очищення (Ledger), або запустіть factory reset (Trezor). Потім переініціалізуйте і згенеруйте свіжий seed.
  • Огляньте упаковку. Ledger використовує tamper-evident пломби на нових моделях. Trezor — голографічну наклейку. Звіртеся з фотографіями свіжої упаковки на сайті виробника.

Опція відновлення

Якщо підозрюєте пред-ініціалізований пристрій: не поповнюйте навіть маленькими сумами. Wipe, переініціалізація, перевірка, що новий seed відрізняється від спочатку показаного. Якщо кошти вже на ньому — переведіть протягом години на адреси, виведені зі свіжо ініціалізованого пристрою.

Правило, що працює

Будь-який апаратний пристрій дешевше виробника на більше 5 USD — для мене бекап для крихітних тестових сум. Високобалансний — завжди напряму з сайту виробника, оплата карткою, доставка на реальну адресу.