Blog
Fałszywe urządzenia Ledger i oszustwa Ledger: jak je rozpoznać i chronić środki
W skrócie
Oszustwa związane z Ledger często podszywają się pod pomoc techniczną, aktualizacje lub wymianę urządzenia, aby zdobyć słowa odzyskiwania albo niebezpieczną zgodę na transakcję. Prawdziwe nazwisko lub adres w wiadomości nie dowodzi, że nadawcą jest Ledger. Należy samodzielnie wejść na oficjalne kanały i użyć kontroli autentyczności; opakowanie nie wystarcza.
Nie wolno używać frazy dołączonej do rzekomo nowego urządzenia ani przekazywać słów przez telefon, czat czy stronę weryfikacyjną. Po ujawnieniu frazy zmiana PIN-u nie pomaga: pozostałe aktywa trzeba zabezpieczyć w nowym portfelu utworzonym na zaufanym urządzeniu. Odzyskiwanie zapomnianych danych dostępu nie cofa kradzieży; Crypto Recovers nie odwraca takich transakcji.
Ledger to najczęściej używana marka portfeli sprzętowych na świecie – i marka, pod którą oszuści podszywają się najczęściej. Oszustwa wymierzone w użytkowników Ledgera są różnorodne, dobrze finansowane i zaprojektowane tak, by wyglądać w pełni legalnie – dlatego dają się na nie nabrać nawet doświadczeni użytkownicy kryptowalut. Ochrona, która naprawdę działa, to zrozumienie, jak działa każdy rodzaj ataku, i wiedza, co zrobić w pierwszych minutach od chwili, w której pojawia się podejrzenie ataku.
Dlaczego użytkownicy Ledgera są ulubionym celem
Portfel sprzętowy jest tak silny, jak 24-wyrazowa fraza odzyskiwania, która go chroni. Samo urządzenie jest zabezpieczone, ale fraza to jedyny punkt awarii: każdy, kto ma te 24 słowa, może odtworzyć wszystkie klucze prywatne i opróżnić wszystkie konta – nawet nie dotykając samego Ledgera. Oszuści o tym wiedzą i każde oszustwo Ledger ma ten sam cel: zdobyć frazę albo doprowadzić do zatwierdzenia transakcji, której właściciel nie rozumie.
Ten jeden cel ułatwia rozpoznanie całego krajobrazu oszustw. Jeśli e-mail, strona, aplikacja lub osoba prosi o frazę odzyskiwania, „weryfikację” słów lub zdjęcie karty seed, rozmowa jest oszustwem – niezależnie od tego, jak oficjalnie wygląda.
E-maile phishingowe i wiadomości tekstowe
W lipcu 2020 r. zhakowano bazę danych e-commerce i marketingu firmy Ledger; ujawniono nazwiska, adresy e-mail i w wielu przypadkach adresy pocztowe około 272 000 klientów. Wyciek dotyczył wyłącznie danych kontaktowych – żadnych kluczy prywatnych, żadnych fraz odzyskiwania, żadnych danych portfela. To, co nastąpiło potem, to długotrwała kampania phishingowa wykorzystująca te prawdziwe dane klientów, by fałszywe kontakty wyglądały wiarygodnie: e-maile z prawdziwym imieniem odbiorcy, odwołujące się do jego prawdziwego adresu, twierdzące, że urządzenie wymaga aktualizacji oprogramowania, że konta są zagrożone albo że przysługuje migracja „Ledger Recover”. Każdy taki e-mail prowadził do strony proszącej o 24-wyrazową frazę odzyskiwania.
Ledger nigdy nie poprosi o frazę odzyskiwania e-mailem, SMS-em ani przez formularz online. Fraza jest wpisywana wyłącznie na fizycznym urządzeniu, podczas początkowej konfiguracji lub przywracania. Nigdy nie wpisuje się jej na stronie internetowej, w aplikacji ani w oknie czatu – nie do „weryfikacji”, nie ze „względów bezpieczeństwa”, nie dla wsparcia. Jeśli jakakolwiek komunikacja o nią prosi, to oszustwo. Taką wiadomość należy usunąć, nie klikać linku i nie odpowiadać.
Fałszywe strony i fałszywe aplikacje Ledger Live
Oszukańcze domeny naśladujące Ledger pojawiają się w wynikach wyszukiwania, w płatnych reklamach i w e-mailach phishingowych. Typowe wzorce to domeny z dodanymi myślnikami lub dodatkowymi słowami, celowe literówki oraz warianty nazwy Ledger z „support” lub „download”. Te strony mogą wyglądać identycznie jak prawdziwa i oferować pomoc w synchronizacji, weryfikacji lub przywróceniu portfela. Wszystkie potrzebują Państwa frazy odzyskiwania.
Jedyna legalna domena to ledger.com, a oficjalna strona wsparcia to support.ledger.com. Ledger Live pobiera się wyłącznie z oficjalnej strony Ledger lub z oficjalnych sklepów z aplikacjami – nigdy z linku w e-mailu, reklamy w wyszukiwarce, opisu na YouTube ani wyskakującego okienka. Fałszywe aplikacje „Ledger Live” były też rozpowszechniane przez nieoficjalne sklepy z aplikacjami na Androida i APK instalowane z zewnątrz, a w sklepach z rozszerzeniami pojawiały się złośliwe rozszerzenia przeglądarki podszywające się pod Ledger. Należy sprawdzić nazwę dewelopera oraz liczbę pobrań i traktować każde rozszerzenie proszące o uprawnienia do portfela jako niepochodzące od Ledgera.
Fałszywe urządzenia Ledger
Podrobiony sprzęt Ledger został udokumentowany i przeanalizowany przez badaczy bezpieczeństwa. Z zewnątrz takie urządzenia mogą wyglądać identycznie jak prawdziwe Ledgery; w środku oprogramowanie układowe jest zmodyfikowane. Najniebezpieczniejszy wariant jest dostarczany z frazą odzyskiwania już znaną atakującemu: wszystkie środki wysłane na adresy wyprowadzone z tej frazy są natychmiast dostępne dla atakującego, jeszcze zanim kupujący skonfiguruje urządzenie.
Niektóre fałszywe urządzenia każą użytkownikom wpisać frazę wydrukowaną na karcie w pudełku, zamiast wygenerować nową. Prawdziwy Ledger zawsze generuje nową, losową 24-wyrazową frazę podczas początkowej konfiguracji i nigdy nie zawiera frazy wydrukowanej z góry. Kupować należy wyłącznie na ledger.com lub u oficjalnie wymienionych autoryzowanych sprzedawców Ledgera – nigdy na marketplace'ach. Po dotarciu nowego urządzenia trzeba uruchomić genuine check w Ledger Live przed dodaniem środków: używa on kryptograficznego wyzwania, aby potwierdzić, że chip Secure Element jest autentyczny. Niska jakość plastiku lub luźny ekran mogą uzasadniać dokładniejszą kontrolę. Brak plomby na opakowaniu nie dowodzi jednak, że urządzenie jest podrobione: Ledger weryfikuje autentyczność przez Genuine Check.
Fałszywe wsparcie i oszuści „odzyskiwania”
Oszuści aktywnie obserwują Reddit, Telegram, Discord i Twitter/X w poszukiwaniu użytkowników piszących o problemach z portfelami, a następnie oferują pomoc w wiadomości bezpośredniej. Pomoc zawsze prowadzi do tego samego: prośby o frazę odzyskiwania albo linku do oszukańczej strony. Oficjalny kanał wsparcia Ledger to support.ledger.com. Nie istnieje żadne oficjalne wsparcie Ledger przez platformy wiadomości bezpośrednich, a pracownicy Ledgera nigdy nie proszą o frazę odzyskiwania, w żadnych okolicznościach.
Druga, okrutniejsza fala uderza w osoby, które już zostały oszukane. Po utracie środków na stronie phishingowej lub fałszywym portfelu „agenci odzyskiwania” kontaktują się z ofiarą, twierdząc, że mogą namierzyć i odzyskać skradzione kryptowaluty – za zaliczkę lub procent. To oszustwa na odzyskiwanie. Legalne firmy nie odzywają się znikąd, nie pobierają z góry opłat za „odblokowanie” lub „namierzenie” skradzionych środków i nigdy nie potrzebują Państwa frazy odzyskiwania ani kluczy prywatnych. Jeśli ktoś obiecuje odzyskać skradzione kryptowaluty w zamian za zaliczkę, ta obietnica sama w sobie jest oszustwem.
Jeśli fraza trafiła już do oszusta
Trzeba działać natychmiast. Portfel jest zagrożony w chwili, gdy ktoś inny ma te 24 słowa – może odtworzyć wszystkie klucze prywatne i opróżnić wszystkie konta, często w ciągu minut lub godzin.
- Przenieść pozostałe środki do zupełnie nowego portfela wygenerowanego na czystym urządzeniu z nową frazą odzyskiwania. To krok pierwszy, przed czymkolwiek innym.
- Przenieść każdy składnik aktywów z każdego konta wyprowadzonego z naruszonej frazy, w tym konta z innych portfeli, które używały tej samej frazy.
- Dopiero po przeniesieniu środków zresetować naruszone urządzenie i nigdy więcej nie używać starej frazy.
Nie należy próbować „zablokować” portfela, zmieniając PIN lub aktualizując oprogramowanie: żaden z tych kroków nie chroni przed kimś, kto już ma frazę. I nie wolno korzystać z żadnej usługi, która każe wysłać naruszoną frazę, jej zdjęcie lub przypuszczenia co do haseł – fraza, która trafiła w ręce oszusta, jest spalona i nie do odzyskania. Przy wątpliwościach, czy coś jest oszustwem, przewodnik po sygnałach ostrzegawczych pozwala to sprawdzić przed podjęciem działań.
Czym zajmuje się Crypto Recovers
Pracujemy nad legalnym odzyskiwaniem dostępu: osobami, które nadal posiadają swoje środki, ale nie mogą do nich dotrzeć z powodu zapomnianego PIN-u, utraconej lub częściowo uszkodzonej frazy odzyskiwania albo zniszczonej kopii zapasowej. Nie zajmujemy się sprawami kradzieży ani oszustw – ta sama zasada chroni naszych klientów przed oszustami odzyskiwania. Jeśli Państwa sytuacja dotyczy utraty dostępu, a nie kradzieży, zapraszamy do poufnej oceny, aby odzyskać swój portfel Ledger.
FAQ: oszustwa Ledger
Jak mogę sprawdzić, czy mój Ledger jest autentyczny?
Należy użyć Genuine Check w oficjalnej aplikacji Ledger, aby kryptograficznie zweryfikować urządzenie. Plomby i naklejki holograficzne nie są dowodem autentyczności. Przy tworzeniu nowego portfela urządzenie samo generuje frazę. Nigdy nie należy używać frazy ani PIN-u dostarczonych w pudełku.
Czy Ledger kiedykolwiek prosi o frazę odzyskiwania e-mailem lub na czacie wsparcia?
Nigdy. Fraza odzyskiwania jest wpisywana wyłącznie na fizycznym urządzeniu. Każdy e-mail, czat lub strona, które o nią proszą, to oszustwo, nawet jeśli używają Państwa prawdziwego imienia i adresu.
Przyszła wiadomość, że konto Ledger jest zagrożone. Co robić?
Nie należy klikać żadnych linków. Prawdziwe powiadomienia bezpieczeństwa Ledgera wskazują na ledger.com lub support.ledger.com i nigdy nie proszą o wpisanie frazy ani pobranie pliku. Zamiast tego trzeba otworzyć bezpośrednio ledger.com i sprawdzić urządzenie w Ledger Live.
Czy fałszywe urządzenie Ledger może ukraść moje środki?
Tak. Podrobione urządzenia mogą być dostarczane z frazą odzyskiwania znaną atakującemu, więc środki wysyłane na wyprowadzone adresy mogą zostać natychmiast opróżnione. Kupować należy tylko na ledger.com lub u oficjalnych autoryzowanych sprzedawców, a przed dodaniem środków uruchomić genuine check.
Fraza odzyskiwania trafiła już do oszusta. Co teraz?
Każde pozostałe saldo należy natychmiast przenieść do nowego portfela z nową frazą, wygenerowanego na czystym urządzeniu. Nie wolno dodawać kolejnych środków ani zaczynać od zmiany PIN-u, a naruszonej frazy nie można użyć nigdy więcej.