«Безкоштовне оновлення», що прийшло поштою

Липень 2024. Клієнт Ledger у Львові отримує фізичний лист — правильна адреса, брендинг Ledger — повідомляючи, що його Nano X замінюється за «програмою безкоштовного оновлення безпеки» у зв'язку з витоком 2020 року. Через два тижні приходить посилка з тим, що виглядає як новий Ledger Nano X. Він встановлює, вводить наявні 24 слова «для міграції коштів» (за доданою інструкцією). Новий пристрій працює нормально. Через три дні весь портфель пропав.

Фізичний шар атаки

Витік бази Ledger 2020 року розкрив 270 000 поштових адрес. Через п'ять років шахраї все ще майнять цей список. Відправка фізичної посилки коштує 5–10 USD за спробу, виробництво фейкового апаратного гаманця — близько 15 USD. При конверсії 1 % на 270 000 — математика безжальна: 2 700 жертв із середньою втратою 20 000 USD = 54 мільйони очікуваної виручки з операції вартістю 10 мільйонів.

Чотири правила

  • Виробники апаратних гаманців ніколи не надсилають заміну за своєю ініціативою. Ledger — ні. Trezor — ні. Coldcard — ні. Якщо пристрій прибув, який ви не замовляли — це шахрайство незалежно від того, наскільки автентично виглядає упаковка.
  • Витоку 2020 року вже більше п'яти років. Жодна легітимна «програма компенсації» не запускається через п'ять років. Реальна відповідь Ledger — на момент і відтоді — була email-вибаченнями і покращеннями безпеки, ніколи фізичними замінами пристроїв.
  • Реальна міграція не вимагає введення seed в екран нового пристрою. Реальна міграція: ввести seed на новий пристрій (на пристрої, не на комп'ютері), потім перемістити кошти через Ledger Live на адреси від нового пристрою.
  • Верифікуйте будь-яку «офіційну комунікацію» через сайт виробника. Відкрийте ledger.com/recall або ledger.com/security і подивіться програму. Якщо її там немає — лист фейк.

Якщо використовували фейковий пристрій

Введений seed назавжди скомпрометований. Згенеруйте новий seed на верифіковано-свіжому пристрої (купленому у виробника). Переведіть кожен актив на адреси від нового seed протягом години. Не використовуйте фейковий пристрій ні для чого — викиньте.