Ledger: 103 miliony dolarów łupu śledzone przez Tornado Cash i Zcash

Śledź trop. Napastnik, który opróżnił portfele klientów Ledger, zapewne sądził, że zniknął w tłumie. Jednak śledczy wciąż go śledzą, hop po hopie. Ponad 100 milionów dolarów zostało namierzonych, 10 milionów zablokowanych przez Tether. To wystarczająco, aby ponownie postawić na stole debatę o odpowiedzialności producentów portfeli sprzętowych.

Kluczowe punkty tego artykułu:

• Około 103,4 miliona dolarów miało zostać wykradzionych z 530 adresów i siedmiu blockchainów według YFarmX. Trzy czwarte łupu znajduje się w USDT na Tron.
• Tether zablokował 10 milionów USDT już pierwszego dnia. Złodziej omija czarną listę, przekształcając swoją część w USDD, a następnie w ether za pośrednictwem THORChain.
• Łup przepływa przez Tornado Cash w siedmiu falach, a następnie do chronionego poola Zcash. YFarmX twierdzi, że połączył każdą wychodzącą partię dzięki fingerprintingowi transakcji.
• Ledger utrzymuje, że potwierdzone przypadki dotyczą urządzeń sprzedawanych przez oficjalnego sprzedawcę CryptoBilis. Wykryto tam nieautoryzowany implant sprzętowy.

530 portfeli, siedem blockchainów i nieautoryzowany implant

Rzeczywiście, to w komunikacie opublikowanym w niedzielę 11 października na X Ledger podsumował sprawę, która zajmuje go od kilku dni. Dla przypomnienia, Bitquery szacuje łup na 93,2 miliona dolarów skradzionych z 315 portfeli rozłożonych na sześciu blockchainach. Z kolei platforma śledcza YFarmX podaje jeszcze wyższą kwotę.

W swoim śledztwie, zaktualizowanym w poniedziałek, liczy około 103,4 miliona dolarów wykradzionych z 530 adresów i siedmiu blockchainów. Tak więc trzy czwarte kwoty zostało przetransferowane w USDT na Tron. W rzeczywistości obie szacunki opierają się na publicznych danych blockchainowych, a Ledger nie potwierdził żadnej łącznej kwoty.

Tak więc Tether zablokował 37 adresów związanych z kradzieżą już 9 października, dla 10 milionów USDT obecnie zablokowanych w portfelach złodzieja. W rzeczy samej, gigant stablecoinów ma tutaj władzę, której Bitcoin i ether nie oferują, a mianowicie możliwość zablokowania tokenów związanych z przestępczością. Jednak haker przewidział tę przeszkodę. Już rano w dniu kradzieży przekształcił swoje USDT w USDD, stablecoin Tron, za pośrednictwem modułu stabilności, którego czarna lista Tether nie dotyka. Następnie kierunek THORChain, giełda cross-chain, aby wymienić wszystko na ether.

Od pierwszego dnia schemat powtarza się metodycznie i nosi nazwę: Tornado Cash. YFarmX policzył więc siedem fal depozytów na Tornado Cash, mieszalniku, który łamie widoczną więź między portfelem, który wpłaca, a tym, który wypłaca. Po przejściu przez pule 100, 10 i 1 ETH, fundusze następnie wychodzą w nowych portfelach, w ciągu godziny.

Kradzież Ledger, dzień drugi. Od wczoraj złodziej przesłał ether przez Tornado Cash trzy razy, a za każdym razem do chronionego poola Zcash. Śledziliśmy każdą partię po drugiej stronie. Oto jak, krok po kroku.

1. TA SAMO BUDOWA, TRZY RAZY

Portfel ether płaci świeżym... pic.twitter.com/qouguFbPE0
--- YFarmX 🗞️ (@YFarmX) 10 października 2026

Kolejny krok odbywa się w chronionych pulach Zcash. Nadawca, kwota i odbiorca każdej transakcji znikają. A to właśnie tam YFarmX chwali się swoim osiągnięciem. Konkretnie, jego narzędzie identyfikuje same transakcje wypłaty, ich konstrukcję, autora i znacznik czasu. Ogłoszony wynik: 108 wypłat z 108 przypisanych do ich oryginalnej partii << do zatoshi >>, najdrobniejszej jednostki ZEC. Po wyjściu fundusze zasilają w rzeczywistości zlecenia sprzedaży ZEC za USDC. Te płacą dwa świeżo utworzone portfele, za 1,79 miliona USDC niewydanych w momencie badania. YFarmX zwracał się więc do Circle, przypominając, że emitent USDC może jeszcze zablokować tę część.

<< To nie jest incydent CryptoBilis, to incydent Ledger >>

Producent przedstawia sprawę jako ograniczoną do urządzeń sprzedawanych przez CryptoBilis, sprzedawcę z Azji Południowo-Wschodniej, który jest wymieniony jako autoryzowany na jego stronie. Sytuacja ta zresztą ewoluowała w czasie, sprzedawca zmienił właściciela przed kradzieżami. Ponadto Ledger potwierdził odkrycie nieautoryzowanego implantu sprzętowego w co najmniej jednym z dotkniętych urządzeń. Jednak firma nie mówi, jak maszyny zostały zwrócone. Na X krytyka spływa.

W praktyce debata dotyczy prostego pytania: jak daleko sięga odpowiedzialność producenta, gdy oficjalny kanał sprzedaży służy jako koń trojański? Dla przypomnienia, ten epizod nie ma nic wspólnego z kampanią phishingową z kwietnia ubiegłego roku. Fałszywa aplikacja Ledger Live w App Store kosztowała wtedy 9,5 miliona dolarów użytkowników, którzy wprowadzili swoją frazę seed. Tym razem jednak napastnik wszedł w posiadanie samych kluczy. To wystarczyło, aby opróżnić setki portfeli bez najmniejszego błędu ich właścicieli.

Według YFarmX, największa część łupu pozostaje dziś w etherze na Ethereum, którego żaden emitent nie może zablokować. Następnie są bitcoiny w dwóch portfelach zbiorczych, a potem zablokowane USDT przez Tether. Circle, Binance, HitBTC i NEAR Intents mogą więc jeszcze interweniować na zidentyfikowanych adresach. Teraz pozostaje pytanie, czy Ledger pokryje rachunek i czy te zablokowania kiedykolwiek otworzą drogę do konkretnych zwrotów.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.