Слив кошельков Ledger / CryptoBilis: вторая волна в Tornado Cash сегодня утром и что ещё лежит на кошельках вора

Ledger 9 октября сообщила, что расследует потери у покупателей, приобретших устройства через авторизованного реселлера CryptoBilis, и попросила реселлера остановить продажи. [Расследование Bitquery](https://bitquery.io/investigations/ledger-cryptobilis-hack), сверенное на 07:00 UTC 10 октября, насчитывает $92,9 млн с 311 кошельков в сетях Tron, Bitcoin, Ethereum, BNB Chain и Polygon — только в Tron 70,2 млн USDT. Двадцать пять кошельков Tron подписали одно и то же разрешение за три секунды после двух недель пробных прогонов — это указывает на одного вора, у которого были все ключи.

Как были получены ключи, не подтверждено. Директор по безопасности SlowMist описал чип, подключённый к экрану устройства, который записывает слова восстановления в момент их показа; Ledger этого не подтвердила. Tether заморозила $10,0 млн за два часа. Первая волна в 1 254 ETH прошла через Tornado Cash днём 9 октября и, как показали Bitquery и аналитик YFarmX, вышла через Zcash на три новых кошелька.

Мы эту работу не повторяем. Всё, что ниже, — то, что произошло после среза Bitquery, прочитанное нами 10 октября около 10:40 UTC, и то, что ещё лежит там, где это можно остановить.

В 09:42 UTC адрес слива 0x83aeaC166f6832aE3500000a24510a95a052A599 отправил 468,9 ETH на свежий кошелёк; через две минуты 0x69c8F401cfC6cd40Ac94691d6D7C48e3b7a47841 отправил 441,5 ETH на другой. За полчаса каждый из двух раздробил свои ETH ещё на пять свежих кошельков: четыре по 96–120 ETH и один маленький.

Восемь крупных кошельков внесли деньги в пулы Tornado Cash на 100, 10 и 1 ETH — всего 900 ETH, с 10:07 до 10:21 UTC. Два маленьких, около 9,6 ETH, сведены на один сборный кошелёк — когда мы смотрели, на нём было 25,4 ETH. В 10:33 один из кошельков первой волны, получивших деньги после Zcash, тоже сдвинулся и отправил 48 ETH на новый адрес.

Ирония: через несколько минут после каждого перевода на новые кошельки вора начали приходить нулевые переводы с адресов-двойников. Вора атакуют той же «отравой адресов», что и всех остальных.

В Ethereum на названных адресах слива и хранения на 10:40 UTC лежало около 15 860 ETH — примерно $42 млн. На двух адресах слива всё ещё по 700 ETH, на третьем 1 027 ETH; на девяти кошельках хранения — от 40 до 3 450 ETH. Отсюда и пойдёт следующая волна.

2,1 млн USDC лежат на двух кошельках, получивших монеты обратно после круга через Zcash, примерно по 1,06 млн. В 10:40 UTC мы проверили чёрный список Circle в контракте USDC: ни один не заморожен. В отличие от ETH, эту часть ещё можно остановить.

В Bitcoin на двух адресах слива 203,8 BTC (92,5 и 111,3), не тронутые с момента кражи. Единственная новая активность там — входящая пыль с адресов-двойников.

Мы пометили в нашей базе 43 адреса, связанных с этой кражей: 14 адресов слива в Tron, Ethereum и Bitcoin, управляющие адреса вора, девять кошельков хранения в Ethereum, три кошелька после Zcash и 14 транзитных кошельков сегодняшней волны. Ни одного из них в нашей базе раньше не было. Сервисы, через которые прошли деньги, — хранилище Chainflip, мосты, обменники — и жертв мы не помечали.

Кошельки с ETH, кошельки с USDC и два адреса Bitcoin стоят у нас на наблюдении: если они сдвинутся, мы обновим эту страницу. Если вы покупали у CryptoBilis, проверьте свои адреса на странице проверки адреса.

Она не говорит, кто вор и как были скомпрометированы устройства; она повторяет опубликованные утверждения и называет их источники. Она не говорит, что Ledger, CryptoBilis или какой-либо сервис нарушили закон. Итоговые цифры кражи принадлежат Bitquery; вторая волна, остатки и проверки заморозки — наши, прочитаны 10 октября 2026 года.