Уязвимости аппаратных кошельков 2026: скандал с MediaMarkt, взломы Ledger и скрытые LTE-модули

Уязвимости аппаратных кошельков 2026: скандал с MediaMarkt, взломы Ledger и скрытые LTE-модули

4.2 BTC ушли за три дня. Парень из Берлина просто зашел в официальный MediaMarkt, купил новенький Ledger Nano X, настроил по гайду и скинул монеты. Баланс – ноль. Транзакция улетела прямиком на кошелек, уже помеченный в базе взломов CryptoBilis. Без фишинга, без сида на листочке под клавиатурой. Внутри сидел модифицированный чип с микроскопическим LTE-модулем – короче, кошелек сам вышел в сеть и слил ключи хакерам.

Жёстко.

MediaMarkt убирает Ledger с полок

MediaMarktSaturn уже тормознул продажи всего железа от Ledger по всей сетке. Сервисные центры в Германии и Австрии буквально завалило жалобами на кошельки, живущие своей жизнью. Раньше думали, что это чисто азиатская история с левыми реселлерами вроде малайзийской CryptoBilis. Теперь ясно: зараженная партия просочилась в белые каналы Евросоюза.

Схема примитивная до жути. Груз перехватывают по пути со склада, коробки тихо вскрывают феном, а заводские компоненты меняют на кастомные платы со встроенным передатчиком. На коробке остаются родные пломбы, голограммы на месте – придраться не к чему. Девайс спокойно ждет, пока вы сгенерируете сид, и тут же пуляет его через сотовую вышку на удаленный сервер. Ledger сейчас валит вину на логистов, но осадок остался: концепт «железного сейфа» дал огромную трещину.

$93 миллиона ушли в пустоту

Пока Ledger пытается отследить $93 млн, утекших через устройства от CryptoBilis, реальная дыра явно глубже. Да, французы смогли заморозить около $10 млн на CEX-площадках – капля в море. Остальное давно размешали через Tornado Cash и мосты.

Реально тупик. Покупаешь железку, чтобы уйти от посредников, а в итоге твои битки зависят от честности таможенника или сонного кладовщика в Польше. Если кошелек перепаивают еще до витрины, само слово «холодный» теряет смысл.

Рынок среагировал моментально:

• Одни психуют и переходят на старые ThinkPad без Wi-Fi плат.
• Фонды радостно продвигают Bitcoin ETF – мол, бросьте железки, отдайте монеты кастодианам с миллиардными страховками.

Битва концепций: ETF против «железа»

Спор про ETF и личные кошельки вспыхнул с новой силой. Раньше твердили как мантру: «Not your keys, not your coins». В 2026 году эта фраза звучит с подвохом. Если ключи знает распаянный внутри чип – чьи они вообще?

Фонды давят на больное. Зачем рисковать депозитом и брать железку с сюрпризом, если можно купить паи ETF прямо с брокерского счета? Никаких сбойных прошивок, никаких скрытых плат. Правда, взамен получаешь не биткоин, а просто расписку банка. Чуть что – счет заморозят за секунду.

Как мы проверяем кошельки сейчас

Покупать аппаратник и сразу заливать весь сайз – безумие. Мы внутри команды этот подход переломили.

Вот правила:

• Корпус смотрим под лупой с хорошим светом – любые следы клея или щели отправляют девайс в ведро.
• Никаких соло-кошельков: только мультисиг 2-из-3, где завязаны разные бренды (к примеру, Coldcard плюс Trezor). Даже если один слит, деньги на месте.
• Клетки Фарадея. Выключенный девайс лежит в экранирующем чехле, чтобы модуль не цеплялся к вышкам.
• Мониторинг адресов на предмет мелкого спама и пылевых атак.

Технические детали и разборы атак мы держим в разделе инструменты для кошельков – там чисто практика без маркетинговой чепухи.

Что делать с грязными деньгами

Хакеры сейчас активно выкачивают украденное в P2P-стаканы и мелкие обменники. Рынок буквально заливает токсичной криптой. Зацепите такой хвост на бирже – аккаунт улетит в бан до выяснения. Будете месяцами доказывать поддержке, что вы не дроп.

Каждый входящий транш нужно пробивать до того, как монеты упадут на основной кошелек. Наш AML-чекер выявляет происхождение в один клик. Если скоринг грязи выше 50% – просто отменяйте сделку.

Нормальные площадки, которые мгновенно морозят кошельки взломщиков и не подсовывают грязь клиентам, мы собрали в разделе обзоры бирж.

Будущее самозанятого хранения

Время коробочных решений уходит. Вендоры не вывозят контроль поставок – факт. Скоро все придут к DIY-девайсам вроде SeedSigner, когда компоненты заказываются вразнобой у не связанных между собой продавцов плат и экранов.

MediaMarkt пока молчит, но в Великобритании еще две крупные сети готовятся снять Ledger с продажи – инсайд подтвердился. Мы под эту историю пересобрали холодное хранение и обновили доли в нашем портфеле. Заводским коробкам больше веры нет.