Ledger з OLX, який насправді не був запечатаний

Березень 2025. Користувач із Києва купує «новий у коробці» Ledger Nano X на OLX — помітно дешевше, ніж 149 USD на офіційному сайті. Упаковка виглядає ідеально. Він налаштовує пристрій, отримує на його екрані «нову» seed-фразу з 24 слів і переводить на гаманець 34 000 USD у BTC. Через два тижні гаманець порожній.

Справжній Ledger на оригінальній прошивці неможливо змусити показати заздалегідь відому фразу так, ніби вона щойно створена. Продавець замінив начинку на модифіковану, яка під час «налаштування» показує заготовлену фразу, а потім акуратно запакував коробку назад. Такі пристрої зазвичай не проходять перевірку справжності в Ledger Live — попередження вискочило, коли він уперше підключив гаманець, і він його просто закрив. Є й грубіший варіант тієї ж пастки, без жодної роботи із залізом: у коробці лежить картка відновлення з уже вписаними 24 словами й записка «використовуйте цю фразу».

Чому цю атаку складніше за все помітити

Пристрій працює. Налаштування виглядає звично. Seed-фраза з'являється на екрані пристрою — саме так, як і має бути, а єдине попередження, яке могло б усе зупинити, легко відкинути. Відмінність одна: шахрай знав фразу ще до того, як жертва відкрила коробку. Щойно на адресу, виведену з цієї фрази, надходять кошти, він їх забирає.

П'ять правил купівлі апаратного гаманця

  • Лише з сайту виробника. Ledger: ledger.com. Trezor: trezor.io. Coldcard: coinkite.com. Не OLX, не сторонні продавці на Rozetka, не «перевірений знайомий». Кілька сотень гривень економії — найдешевша частина майбутньої втрати.
  • Не беріть «новий» пристрій, який хтось, крім виробника, продає значно дешевше за офіційну ціну. Ledger справді влаштовує розпродажі, але вони проходять на ledger.com. Запечатаний Nano X від випадкового продавця зі знижкою 40 % — сигнал тривоги, а не вигідна покупка.
  • Якщо пристрій дістався вам не від виробника, скидання не рятує. Скидання (три неправильні PIN-коди на Ledger, скидання до заводських налаштувань на Trezor) і нова seed-фраза захищають лише від фрази попереднього власника на справжньому пристрої. Проти модифікованої начинки це не допомагає. Запустіть перевірку справжності в застосунку виробника, і якщо щось попереджає — зупиніться й нічого на пристрій не заводьте.
  • Ніколи не використовуйте seed-фразу, яка лежала в коробці. Справжній пристрій завжди генерує фразу сам і показує її на власному екрані. Надрукована чи вже заповнена картка відновлення означає, що пристрій скомпрометований.
  • Не покладайтеся на упаковку. Пломби й наліпки акуратний «перепакувальник» підробить. Програмна перевірка справжності в застосунку виробника — набагато надійніший сигнал, ніж вигляд коробки.

Якщо вже купили

Підозрюєте, що пристрій «підготували» заздалегідь: не заводьте на нього кошти, навіть дрібні, і не намагайтеся вилікувати його скиданням — модифікований пристрій після стирання може знову показати «нову», але заготовлену фразу. Відкладіть його. Якщо кошти вже там, одразу переведіть їх на нову seed-фразу, створену на пристрої, купленому напряму у виробника.

Просте правило

Будь-який апаратний гаманець, що потрапив до вас не напряму від виробника, годиться хіба що як тестовий пристрій для зовсім дрібних сум. Гаманець для великих коштів купуйте лише на сайті виробника, з оплатою карткою й доставкою на вашу справжню адресу.