ZachXBT назвал аппаратные кошельки «мусором» после кражи $282M Theft

Ончейн-исследователь ZachXBT раскритиковал аппаратные кошельки, назвав их «полным мусором», и заявил, что Ledger — худший среди крупных провайдеров, после кражи 10 января, когда жертва лишилась более чем на $282 миллиона в биткоинах и Litecoin в ходе мошенничества с социальной инженерией. Атака включала примерно 2,05 миллиона LTC и 1 459 BTC: злоумышленник конвертировал похищенные средства в Monero через быстрые обмены и использовал Thorchain, чтобы перевести биткоины между сетями, как сообщают Wu Blockchain и The Defiant. Заявление ZachXBT оспаривает распространенную рекомендацию в крипто-сообществе использовать аппаратные кошельки: он утверждает, что эти устройства не защищают пользователей от сбоев в операционной безопасности, фишинговых атак, утечек в цепочке поставок или тактик социальной инженерии.

ZachXBT связал кражу на $282 миллиона с социальной инженерией 10 января

ZachXBT выделил кражу 10 января после того, как The Defiant сообщила, что пользователь аппаратного кошелька лишился более чем на $282 миллиона в Bitcoin и Litecoin. Как утверждается, атака включала около 2,05 миллиона LTC и 1 459 BTC. Сообщается, что злоумышленник конвертировал украденные средства в Monero через быстрые обмены и использовал Thorchain, чтобы перемещать биткоин между сетями. Комментарии ZachXBT, переданные Wu Blockchain и затем перепубликованные в X, появились после того, как он изучил детали кражи. Сообщалось, что атаку описывали как мошенничество на основе социальной инженерии, а не как криптографический взлом аппаратного устройства.

Ledger столкнулся с утечкой данных через глобальный платежный процессор Global-e

В январе Bit2Me сообщила, что ZachXBT предупреждал о связанной с Ledger утечке данных, затрагивающей Global-e — внешний платежный процессор, используемый в процессе продаж Ledger. Утечка раскрыла персональные данные, включая имена, email-адреса, номера телефонов и физические адреса. При этом в отчете отмечалось, что приватные ключи пользователей и средства напрямую скомпрометированы не были. Ledger сталкивался с пристальным вниманием годами из‑за фишинговых кампаний, поддельных устройств, фейковых приложений Ledger Live и функции Ledger Recover. Компания неоднократно заявляла, что ее устройства предназначены для сохранения приватных ключей в безопасности.

Аппаратные кошельки не закрывают риски безопасности, связанные с людьми

Критика ZachXBT сосредоточена на пробелах в операционной безопасности, а не на криптографии устройств. Аппаратные кошельки позиционируются как более безопасные, чем программные, потому что они держат seed-фразы и подпись транзакций изолированно от устройств, подключенных к интернету. Однако ZachXBT утверждает, что аппаратные устройства не могут помешать пользователям вводить seed-фразы на фишинговых сайтах, одобрять вредоносные транзакции, покупать поддельные устройства или становиться мишенью, если их персональные данные были раскрыты через вендоров или платежные процессоры. Как только преступникам становится известно, что человек купил аппаратный кошелек, они могут нацелиться на него с помощью персонализированных фишинговых писем, поддельных сообщений службы поддержки, попыток SIM-swapping или физического давления. Для крупных держателей оценка ZachXBT предполагает, что самокастоди требует кошельков с мультиподписью, отдельных устройств для подписи, белых списков адресов, симуляции транзакций, выделенных офлайн‑машин и строгих правил против ввода seed-фраз где-либо, кроме самого устройства.

FAQ

Что ZachXBT сказал про аппаратные кошельки?
ZachXBT назвал аппаратные кошельки «полным мусором» и заявил, что не рекомендует ими пользоваться, а Ledger — худший среди крупных провайдеров, согласно сообщениям в соцсетях, переданным Wu Blockchain.

Сколько криптовалюты украли в упомянутой ZachXBT кражe 10 января?
Жертва лишилась более чем на $282 миллиона в Bitcoin и Litecoin в мошенничестве с социальной инженерией 10 января, что включало примерно 2,05 миллиона LTC и 1 459 BTC, согласно сообщению The Defiant со ссылкой на ZachXBT.

Какая персональная информация была раскрыта при утечке данных Ledger?
Утечка через платежный процессор Global-e раскрыла имена, email-адреса, номера телефонов и физические адреса клиентов Ledger, хотя приватные ключи и средства пользователей напрямую скомпрометированы не были — так говорится в отчете Bit2Me о предупреждении ZachXBT в январе.