Ledger má uklidňující zprávu: ochranu jeho bezpečnostního čipu nikdo neprolomil. Majitelům prázdných peněženek zbývá zjistit, co je na tom má těšit.

Lidem, kteří si koupili Ledger od prodejce CryptoBilis, někdo 9. října 2026 ukradl kryptoměny. Podle výpočtů Bitquery k 15. říjnu šlo přibližně o 102 milionů dolarů a 324 peněženek. Je to odhad výzkumníků, který Ledger zatím nepotvrdil.

Kód k trezoru prostě někdo odkoukal

Ledger 13. října vysvětlil, jak fungovala špionážní součástka nalezená v přístroji jednoho z poškozených. Uvnitř pouzdra byl cizí díl. Při nastavování přístroje četl z displeje 24 slov pro obnovení peněženky a odesílal je útočníkům přes mobilní síť. Hlavní čip, systém zařízení i podpisy transakcí přitom zůstaly nedotčené.

Těmto slovům se říká obnovovací neboli seedová fráze. Pokud k ní majitel nepřidal další heslo, stačí tato slova k obnovení peněženky na jiném zařízení. Samotný Ledger už pak zloděj nepotřebuje. Nemusí na něm ani mačkat tlačítka.

Představte si trezor s výborným zámkem. Někdo vedle klávesnice schoval kameru a odkoukal kód. Zámek obstál ve všech zkouškách. Obsah trezoru tenhle úspěch z nějakého důvodu neocenil.

Kontrola úspěšná. Překvapení uvnitř

Ledger nabízí kontrolu pravosti zařízení. Ve vlastním návodu ale uvádí její omezení: fyzické úpravy včetně špionážních součástek neodhalí, pokud původní bezpečnostní čip zůstal neporušený.

„Pravý Ledger“ a „nikdo dovnitř nic nepřidal“ jsou dvě různá tvrzení. Technik ten rozdíl chápe. Zákazníka, který zaplatil za bezpečí a jehož přístroj prošel kontrolou, může tahle drobnost stát všechny úspory.

Další krok má jistou eleganci. Stejný návod nabízí fotografie vnitřku přístroje k vlastní kontrole a zároveň varuje, že otevřením můžete přístroj poškodit. Koupili jste si peněženku, abyste nemuseli tolik řešit bezpečnost. Teď máte důvod studovat plošné spoje.

Černá skříňka měla spolubydlícího

Svést všechno na nákup u náhodného překupníka tady dost dobře nejde: CryptoBilis figuroval v oficiálním seznamu prodejců Ledgeru. Kdo zařízení upravil a v jaké fázi, se stále vyšetřuje.

Právě tady dostává slib klidného spaní trhliny. Zákazník má věřit výrobci, prodejci, dopravci i tomu, co je uvnitř krabičky. Pak se ukáže, že kontrola odpovídá jen na část otázky. Co kontrola nepokryje, je najednou osobní problém zákazníka.

Útočníci v tomto případě ani nemuseli měnit program zařízení. Přidali si vlastního pozorovatele. Stačilo jim místo hned vedle toho, co mělo peníze chránit.

Nejde o potvrzené prolomení aplikace Ledger Live ani o důkaz, že je napadený každý Ledger. V upřesnění ze 14. října firma uvedla, že při kontrole zásob u německých prodejců a distributorů nenašla známky zásahu; podezřelé přístroje ukázané na internetu ještě neobdržela. Tím ale nalezená špionážní součástka nezmizí.

Co mají zákazníci dělat teď

U přístrojů koupených přes CryptoBilis je doporučení Ledgeru jednoduché: nepoužitý přístroj nenastavujte. Pokud už jste ho používali, vytvořte na důvěryhodném zařízení novou peněženku s novou obnovovací frází a převeďte do ní prostředky. Přenést i starou frázi nedává smysl: kopie, kterou může mít zloděj, tím nezmizí. Nezadávejte ji na webech nabízejících „bezpečnostní kontrolu“.

Karta je trezor. Šifrujete vy.

U každého zařízení má smysl vědět, co dělá ono a co děláte vy. Karta Mitilena je zkrátka trezor pro data, která si zašifrujete sami. Zvolíte si heslo, data jím zašifrujete a na kartu uložíte už zašifrovaný obsah.

Záznam ve standardním formátu NFC si můžete přečíst v běžné aplikaci, třeba v NFC Tools. Přečtení záznamu ale není totéž co dešifrování dat. V tom je celá myšlenka: šifrování máte ve svých rukou. Karta uchovává to, co jste na ni uložili.