W internecie od kilku dni wrze. Ludzie z przerażeniem patrzą na swoje portfele sprzętowe od Ledgera, z kont wyparowało już rzekomo ponad 90 mln USD, a wszystko przez aferę, która brzmi jak scenariusz filmu. Okazało się, że w fabrycznie zafoliowanych Ledgerach u azjatyckiego dystrybutora ktoś zaszył "szpiegowskie pluskwy". Czy mamy się czego obawiać? Spytałem o to eksperta ds. cyberbezpieczeństwa Łukasza Mikułę.
W momencie pisania tego tekstu w środę 14 października 2026 roku, jesteśmy na etapie, gdy Ledger nie podał wciąż liczby ofiar ani wartości skradzionych środków. Analitycy śledzący dane na blockchainie szacują straty na kwotę do 93,2 mln USD z ponad 300 portfeli. Firma Tether zamroziła 10 mln USD w powiązanym z kradzieżą stablecoinie USDT.
Portal "CoinDesk" podał we wtorek, że niemiecki MediaMarkt wstrzymał sprzedaż portfeli sprzętowych Ledgera. Mniej więcej wtedy dostałem pytanie od czytelnika: "Panie Januszu, dopiero co kupiłem Ledgera w supermarkecie z elektroniką, mam uciekać z kasą? Rozkręcać go?”.
Zadzwoniłem do Łukasza Mikuły, eksperta ds. cyberbezpieczeństwa w świecie kryptowalut. I pierwsza, najważniejsza rzecz, którą usłyszałem, powinna nieco uspokoić gorące głowy - najważniejszy element portfeli Ledgera czyli "Secure Element" nie został naruszony.
- Ledger deklaruje brak oznak naruszenia swojej infrastruktury, systemów i bezpośredniego kanału sprzedaży - wyjaśnił mi Łukasz Mikuła. - To ważne, ponieważ dając wiarę tym doniesieniom, możemy założyć, że problem leży u resellerów, a nie u samego producenta.
Hakerzy nie złamali więc kryptografii. Problem leży po stronie sprzedających.
- Według dotychczasowych komunikatów Ledgera wszystkie potwierdzone kradzieże w ramach incydentu dotyczą urządzeń sprzedanych przez CryptoBilis, autoryzowanego resellera działającego w Azji. Firma nadal ustala, kto zmodyfikował sprzęt i na jakim etapie dystrybucji. Jest to częściowo uspokajające dla naszego europejskiego rynku, choć nie można powiedzieć że zupełnie nas to nie dotyczy - zastrzega Łukasz Mikuła.
Podejrzany Ledger w niemieckim markecie z elektroniką?
Osobno badane jest zgłoszenie klienta z Niemiec, który twierdzi, że znalazł nieautoryzowane modyfikacje w dwóch urządzeniach kupionych w jednych ze znanych sieci marketów z elektroniką. Jak zaznacza ekspert sprawa nie jest jednak potwierdzona, a z tego rzekomo zainfekowanego urządzenia nie zginęły jeszcze żadne środki. Mimo to Łukasz Mikuła radzi, by nie ignorować tych doniesień
- Dlaczego o tym wspominam? Aby obserwować sprawę. Na ten moment potwierdzenia tego ataku w Europie nie ma. A gdzie jest granica niepewności? Tu już każdy powinien odpowiedzieć sobie sam, jakie ryzyko toleruje. Jeśli trzymamy na portfelu niewielkie kwoty, możemy podejść do zdarzenia z większym spokojem, niż jeżeli niedawno kupiliśmy taki portfel i przelaliśmy tam bitcoiny gromadzone od kilku lat.
Jak opróżniono portfele Ledgera? Wystarczyła "taka pluskwa"
Poprosiłem Łukasza, żeby wytłumaczył mi "na chłopski rozum", jak przebiegał atak na portfele. Skoro serce urządzenia nie zostało złamane, to jak złodzieje wyprowadzają pieniądze?
- Opisany atak nie wymaga przełamania zabezpieczeń Secure Elementu, czyli chronionego układu przechowującego sekrety portfela. Atak polega na tym, że wewnątrz obudowy urządzenia fizycznie umieszczono moduł, który przechwytuje informacje wyświetlane użytkownikowi - taką pluskwę - mówi Łukasz Mikuła.
Jak podkreśla, jest to o tyle zagadkowe, że ktoś musiał naruszyć opakowania i konstrukcję samych portfeli.
- Sprawa wygląda więc na całkiem złożoną operację i sam jestem ciekawy, co wykaże analiza incydentu i kto okaże się sprawcą - komentuje ekspert. - Wracając do problemu - owa pluskwa rozpoznaje 24 słowa frazy odzyskiwania podczas konfiguracji i wysyła je przez modem LTE korzystający z wbudowanego układu eSIM - czyli po prostu podsłuchuje seed phrase i wysyła w świat.
Po przejęciu danych potrzebnych do odzyskania portfela atakujący może odtworzyć klucze poza urządzeniem ofiary.
- Ponieważ seed phrase jest wyłącznym warunkiem kontroli portfela, po jego przechwyceniu taki zimny portfel nie jest już zimny - mówiąc wprost, atakujący na drugim końcu świata może sobie ten seed phrase zaimportować i być pełnoprawnym współdysponentem portfela - opisuje Łukasz Mikuła.
Masz Ledgera? Co zrobić i czego NIE robić
Przede wszystkim schowaj śrubokręt. Łukasz Mikuła ostrzega, że rozkręcanie urządzenia nie da nic bez specjalistycznej wiedzy. Najpierw ustal, skąd pochodzi urządzenie.
- Jeśli jakimś cudem posiadamy portfel kupiony przez azjatyckiego pośrednika w ciągu dwóch ostatnich lat, to koniecznie powinniśmy go wymienić - kupić nowy, skonfigurować nowy seed, przelać środki, a o tamtym zapomnieć - radzi ekspert - Przy zakupie od innego sprzedawcy, raczej po prostu monitorowałbym sytuację, choć indywidualna ocena ryzyka zależy od każdego z nas i przede wszystkim od posiadanych środków - dodaje.
Jaka jest kluczowa rada dla osób, które podejrzewają, że ich urządzenie mogło zostać zmodyfikowane?
- Potraktuj wprowadzone lub wyświetlone na nim dane odzyskiwania jako potencjalnie ujawnione. Jeżeli zdecydujesz się na zmianę portfela to pamiętaj, że odtworzenie starej frazy na nowym sprzęcie nie rozwiązuje problemu i nie rozwiązuje go również zmiana PIN. To, co użytkownicy kryptowalut powinni wiedzieć, to że gwarancją kontroli nad środkami jest to, że tylko my znamy nasz seed phrase - przypomina Łukasz Mikuła.
Na samym końcu ekspert uczulił mnie i poprosił, żeby ostrzegł Was przed wtórnymi oszustwami. W takich momentach przestępcy mogą próbować łowić ofiary na fałszywe maile od "wsparcia technicznego" i podobnych podszywających się pod Ledgera nadawców. Takie sytuacje stają się pożywką dla kolejnych przestępców, którzy próbują phishingu - korzystając z napiętej atmosfery liczą na to, że odbiorcy chętniej wejdą z nimi w interakcję lub otworzą potencjalnie niebezpieczne załączniki.
Wszystkie zapiski z mojego dziennika znajdziecie w tym miejscu. Zapraszam też do odwiedzin na moim Facebooku. Maile możecie słać na adres janusz.krypto@bankier.pl.
