Из Ledger утёк не ключ, а домашний адрес — и это оказалось опаснее

Коротко (TL;DR)

5 января 2026 года клиенты Ledger получили письмо с адреса no-reply@global-e.com с темой «An important notification from Global-e regarding unauthorized access to data». Global-e — это подрядчик, который оформляет международные заказы на Ledger.com. Взломали его облачную систему, а не Ledger и не устройства.

Криптовалюта в безопасности: у Global-e никогда не было ни ваших 24 слов, ни адресов кошельков, ни балансов. Платёжные данные тоже не тронуты.

Утекло другое — и это стоит прочитать внимательно. По официальному перечню Ledger: имя, почтовый адрес, электронная почта, номер телефона, номер заказа, конкретная купленная модель и уплаченная цена. То есть готовая карточка: вот человек, вот его дом, вот подтверждение, что у него есть аппаратный кошелёк, и вот сколько он за него заплатил.

Главное действие — не переводить средства, а изменить своё поведение с входящими сообщениями. Ledger не пишет в SMS, WhatsApp, Telegram, не звонит и не отправляет бумажных писем. Любой контакт по этим каналам — попытка обмана, независимо от того, насколько убедительно он выглядит.

BYBITВсё ещё смотришь со стороны?Рынок работает без выходных. Счёт на Bybit открывается за 2 минуты.Начать сейчас

Данные актуальны на 28 июля 2026 года.

Ошибка в тестовой среде выпустила Claude в интернет — и он взломал три реальные компании

Ledger Recover: за что на самом деле платит подписчик

Secure Element и цифра EAL на коробке: сертификат относится не к кошельку

Мультиподпись против Shamir Backup: почему «два из трёх» — это две разные защиты

Полная стоимость самостоятельного хранения: с какой суммы холодный кошелёк перестаёт быть переплатой

Что именно произошло 5 января

Ledger продаёт устройства по всему миру, и для международных заказов использует посредника — компанию Global-e. Она берёт на себя роль «продавца по документам» (merchant of record): пересчёт валюты, налоги, таможенные формальности, доставку. Чтобы это делать, ей нужны ваши имя, адрес и телефон.

Неизвестный получил несанкционированный доступ к облачной системе Global-e, где лежали данные заказов сразу нескольких брендов. Ledger был не единственным пострадавшим, но единственным, кто публично это признал — по состоянию на первую волну публикаций других компаний, назвавших себя, не было.

Три вещи, которые стоит зафиксировать сразу.

Ledger не взламывали. В официальном FAQ компания формулирует это прямо: инцидент затронул только базу Global-e, системы и продукты Ledger не участвовали. Это не отговорка — это техническая правда, и она важна для понимания, чего бояться, а чего нет.

Уведомляла вас Global-e, а не Ledger. Юридически это две раздельные и независимые компании-контролёры данных. В чьей системе произошёл инцидент, тот и обязан уведомлять. Отсюда странное на первый взгляд ощущение «почему мне пишет какая-то незнакомая фирма».

Первым об этом сказал не Ledger. Публичную огласку инцидент получил после того, как исследователь ZachXBT выложил в соцсети скриншот письма от Global-e. Официальные комментарии пошли уже следом.

BYBITВсё ещё смотришь со стороны?Рынок работает без выходных. Счёт на Bybit открывается за 2 минуты.Начать сейчас

Чего не сказали до сих пор

Спустя полгода в этой истории остаются дыры, и их стоит назвать честно:

• Сколько человек затронуто — неизвестно. Ни Ledger, ни Global-e числа не назвали.
• Когда именно взломщик попал внутрь и сколько там пробыл — неизвестно. В своём FAQ Ledger на вопрос «когда произошёл инцидент» просто переадресует к центру безопасности Global-e.
• Как именно взломали — неизвестно. Global-e ограничилась формулировкой «неавторизованный доступ к облачной информационной системе», технических деталей не давала.
• Страница официального уведомления Global-e больше не открывается. Адрес, на который ссылались январские публикации, при проверке 28 июля 2026 года отдаёт 404 «This page doesn’t exist or was removed». Рабочим остаётся только общий портал приватности компании.

Отдельная линия — теневые форумы. 12 января 2026 года агрегатор утечек Dark Web Informer зафиксировал объявление: продавец под ником ShiJiayi предлагал чуть более 50 000 записей заказов Ledger за 1 биткоин, цена обсуждаема. Ни Ledger, ни Global-e это объявление не подтверждали, проверить его содержимое независимо невозможно. Это заявление продавца, а не установленный факт — но и игнорировать его нельзя.

Что утекло, а что нет: полный перечень

Большинство изданий описали утечку формулой «имена и контактные данные». Официальный перечень Ledger заметно длиннее, и разница принципиальна.

Правая колонка — не формальность. Аппаратный кошелёк устроен так, что закрытые ключи физически не покидают чип, а подпись транзакции происходит внутри устройства. Global-e не имела и не могла иметь доступа к этим данным: она обрабатывала заказ, а не кошелёк. Если вы никому не отдавали свои 24 слова, ваши средства этим инцидентом не затронуты — это верно буквально, а не как утешение.

Почему «всего лишь адрес» — это много

Опасность не в отдельном поле, а в их сочетании. Разберём по шагам, что получает человек, купивший такую базу.

Обычная утечка интернет-магазина даёт список людей, купивших, скажем, кроссовки. Ценность такого списка невелика: неизвестно, сколько у человека денег и есть ли смысл им заниматься.

Здесь другое. Купленная модель и уплаченная цена — это подтверждение платёжеспособности и мотива. Человек, заказавший топовое устройство, с высокой вероятностью хранит суммы, ради которых имеет смысл возиться. Дальше:

1. Имя + модель устройства дают возможность написать письмо, которое не выглядит массовой рассылкой. Не «Уважаемый клиент», а «Иван, по вашему заказу №… на Ledger Flex».
2. Почта и телефон дают несколько каналов сразу: письмо, звонок, мессенджер. Один и тот же сценарий, повторённый с трёх сторон, звучит убедительнее.
3. Почтовый адрес переводит историю из онлайна в офлайн. По нему можно прислать бумажное письмо, посылку или прийти лично.

Александр Урбелис, директор по информационной безопасности Ethereum Name Service, в комментарии CoinDesk сформулировал механику точно: хорошие фишинговые схемы — это игра на доверии, они начинают с настоящего имени и настоящих деталей заказа, а потом переключаются на страх и срочность через «предупреждение о безопасности» или «замену устройства». Он же отдельно отметил, что домашний адрес в утечке, привязанный к аппаратному кошельку, сам по себе повышает профиль риска человека.

Ещё одна деталь, о которой почти не пишут: утёкшие персональные данные не устаревают. Пароль можно сменить за минуту, домашний адрес — нет. База 2020 года используется до сих пор: по данным отчёта MetaMask за 2025 год, жертвам той утечки приходили бумажные письма на поддельных бланках Ledger со ссылками на фальшивые линии поддержки. Пять лет спустя.

Как проверить, попали ли вы в утечку

Здесь неудобный ответ, которого нет ни у одного из материалов в выдаче.

Единственный надёжный признак — письмо от Global-e. Оно отправлено 5 января 2026 года с адреса no-reply@global-e.com, тема — «An important notification from Global-e regarding unauthorized access to data». Если такого письма не было, проверьте папку со спамом: за полгода оно вполне могло туда уехать и потеряться.

Have I Been Pwned на этот вопрос не отвечает. Это самый популярный сервис проверки утечек, и первый совет в интернете — «пробей почту там». Мы обратились к его публичному API 28 июля 2026 года и прошли весь список зарегистрированных утечек. Результат:

• по Ledger в базе ровно одна запись — дата утечки 25 июня 2020 года, добавлена 20 декабря 2020 года, 1 075 241 аккаунт, поля: адреса почты, имена, телефоны, физические адреса;
• записи Global-e в базе нет вообще.

Это значит, что положительный ответ Have I Been Pwned по вашей почте говорит о старой утечке пятилетней давности, а не о январской. А отрицательный ответ не означает, что январская вас не коснулась. Инструмент просто не про этот случай — на момент проверки.

Третий путь — спросить напрямую. У Global-e есть портал приватности, где можно запросить копию своих данных или их удаление. Про него ниже, в разделе о правах.

Как выглядит атака по этим данным

Ledger держит на своём сайте страницу активных фишинговых кампаний — по сути публичный список того, что происходит с его клиентами прямо сейчас. Плюс есть свежие сообщения самих получателей. Сведём это в таблицу «сигнал — что это значит».

Бумажные письма — главная линия

Кампания с бумажными конвертами публично зафиксирована 29 апреля 2025 года и с тех пор не прекращалась. Механика простая: официального вида письмо с логотипом и адресом компании, отправитель — «отдел безопасности и комплаенса», внутри QR-код. Формулировка — критическое обновление безопасности, обязательная проверка устройства, иначе доступ к средствам будет ограничен. Отсканировав QR, человек попадает на сайт, который просит ввести 24 слова.

Ledger держит этот сценарий первым в списке угроз — выше телефонных звонков и фейковых аккаунтов в соцсетях. В открытых источниках есть сообщения получателей от 21 и 23 июля 2026 года — люди пишут, что письма приходят до сих пор. Это свидетельства очевидцев, независимо мы их не проверяли, но они согласуются с тем, что кампания официально числится активной.

Отдельная, самая неприятная разновидность — посылка. В 2021 году по адресам из слитой годом ранее базы рассылали вскрытые «замены» устройств: запаянная упаковка, поддельное фирменное письмо, внутри модифицированное железо, которое должно было увести введённую фразу восстановления. Именно поэтому в официальном FAQ Ledger по инциденту 2026 года появился отдельный пункт про неожиданные посылки.

Первые письма пошли сразу

Ждать месяцами не пришлось. Уже в первые дни после рассылки уведомлений появилось письмо якобы от «Katie at E-Global», обращённое к «Ledger User», со ссылкой «узнать подробнее, как недавнее обновление улучшает безопасность вашего устройства». Обратите внимание на приём: имя отправителя похоже на Global-e ровно настолько, чтобы у уставшего человека не возникло вопроса.

Что делать прямо сейчас: пошагово

Порядок важен — начинаем с того, что даёт эффект сразу.

1. Примите за правило: входящий контакт по поводу кошелька — всегда обман. Не «скорее всего», а всегда. Ledger, Global-e, «поддержка», «служба безопасности» — никто из них не инициирует разговор о вашем устройстве. Если нужна помощь, вы идёте к ним сами, набирая адрес сайта руками.

2. Никогда и никуда не вводите 24 слова. Фраза восстановления вводится только в само устройство, при его настройке или восстановлении. Ни один сайт, ни одно приложение, ни один сотрудник не имеет причины её спрашивать. Это единственное правило, нарушение которого стоит всех средств сразу.

3. Проверьте, куда ведут ссылки, до клика. Мошенники используют домены, отличающиеся одной буквой: legder, leqder, ledqer, lèdger. Настоящие домены Ledger — ledger.com, ledger.fr, ledgerwallet.com, ledger.zendesk.com. Отдельно встречается приём, когда «ledger.com» стоит в начале длинного адреса, но реальный домен — совсем другой в конце строки.

4. Укрепите почту и телефон. Почта — вход во всё остальное, телефон — цель для подмены SIM-карты. Включите двухфакторную аутентификацию на почтовом ящике и попросите оператора связи поставить защиту от переоформления номера или запрет операций без личного визита.

5. Заведите отдельный ящик для покупок железа. Простая гигиена: почта, на которую вы заказываете кошельки, не должна совпадать с почтой, привязанной к биржам, банкам и соцсетям. Тогда следующая утечка не свяжет одно с другим.

6. Если пришла посылка или бумажное письмо — не сканируйте ничего. Сфотографируйте, сообщите в официальную поддержку. Проверить подлинность устройства можно только штатной проверкой Ledger Genuine Check в приложении Ledger Wallet, и то — устройство из неизвестного источника лучше не подключать вовсе.

7. Для крупных сумм — подумайте о парольной фразе. Это необязательное 25-е слово, которое существует только у вас в голове и не хранится на устройстве. Даже физический доступ к устройству и знание 24 слов без неё не открывают основной кошелёк. Совет не из официального FAQ Ledger, а из независимых разборов инцидента, но он логично закрывает именно тот риск, который создаёт утечка адреса.

Чего делать НЕ надо

Не переводите средства в панике. Это главный контринтуитивный вывод, и он исходит от двух специалистов по безопасности кошельков, опрошенных CoinDesk. Логика такая: перевод виден в блокчейне, и злоумышленник просто пойдёт по следу. Утечка не сделала ваш кошелёк уязвимым — она сделала уязвимым вас. Смена адреса кошелька эту задачу не решает.

Хуже того, спешка сама становится приманкой: человек, который только что прочитал новость и нервно ищет, куда перевести деньги, — идеальная цель для письма «мы поможем вам перенести средства в безопасное хранилище». Действовать в блокчейне стоит только при реальных признаках компрометации — например, если в истории появились транзакции, которых вы не делали.

Не меняйте устройство и не меняйте бренд из-за этой утечки. Устройство ни при чём. Переход на другого производителя не удаляет ваш адрес из чужой базы и не отменяет того, что вы попали в списки. Менять железо имеет смысл по другим причинам — если у вас, например, Ledger Nano X и вас не устраивает уровень его чипа, — но не как реакцию на инцидент у подрядчика.

Не отвечайте на письма с угрозами. После утечки 2020 года пошла волна вымогательских рассылок: часть писем угрожала вторжением в дом, и угроза выглядела правдоподобно ровно потому, что у отправителя были адрес жертвы и подтверждение покупки кошелька. Сам Ledger тогда охарактеризовал эту волну как очередную массовую мошенническую рассылку — одно и то же сообщение уходило по почте и в SMS на разных языках. Массовая рассылка — не то же самое, что подготовленное нападение. При реальных угрозах обращаются в полицию, а не в переписку.

Ваши права и кто за это отвечает

Тут есть неочевидный поворот, который стоит понимать до того, как вы начнёте писать письма.

Отвечает Global-e, а не Ledger. Компании действуют как раздельные и независимые контролёры данных. На прямой вопрос о компенсациях пострадавшим Ledger в своём FAQ отвечает уклончиво и отправляет за позицией к Global-e. То есть претензии по существу утечки адресуются не производителю кошелька.

Что можно сделать практически. У Global-e есть портал приватности, где любой покупатель может подать два типа запроса: получить копию хранящихся о нём данных или потребовать их удаления. Форма открывается по стране, требует имя, фамилию, почту, название магазина и номер заказа. Отдельный контакт для вопросов защиты данных — dataprotection@global-e.com. Мы открывали портал 28 июля 2026 года: он работает.

Запрос копии данных имеет практический смысл: он показывает, что именно о вас у компании есть, и это единственный способ узнать состав своей записи, не полагаясь на общие формулировки пресс-релиза.

Что говорит Ledger о проверке подрядчика. Формулировка из официального FAQ заслуживает внимания: компания провела «стандартную проверку третьей стороны на основании документации, в соответствии с нашим процессом управления рисками поставщиков на тот момент». Проверка по документам — это анкета и договор, а не аудит инфраструктуры. Оговорка «на тот момент» намекает, что процесс с тех пор изменился, но напрямую этого не сказано.

Физический риск: цифры вместо страшилок

Про «нападения с гаечным ключом» после каждой утечки пишут много и эмоционально. Мы решили посмотреть на первичные данные, а не на пересказы.

Есть публичная база Jameson Lopp — многолетний реестр задокументированных физических нападений на держателей криптовалюты, собранный по сообщениям СМИ. Мы сняли её 28 июля 2026 года и посчитали строки по годам сами.

Две оговорки, без которых цифры вводят в заблуждение. Первая: база пополняется задним числом, поэтому свежие годы всегда недосчитаны — данные за 2026 год обрываются на 13 июня, это последняя запись на момент снимка. Вторая: сюда попадают только случаи, о которых написали СМИ. Реальное число выше, насколько — неизвестно.

Даже с этими оговорками картина читается: 2025 год стал рекордным с большим отрывом, а первое полугодие 2026-го идёт вровень с ним.

Дальше — деталь, которая почти нигде не звучит. Мы разобрали ту же базу по странам:

• 2026 год: 29 случаев из 44 — Франция.
• 2025 год: 21 случай из 82 — Франция.

Франция — родина Ledger, и она же мировой эпицентр таких нападений. Это не совпадение и не мистика: французский министр внутренних дел публично комментировал рост подобных преступлений в стране. Самый известный эпизод — 21 января 2025 года во Вьерзоне похитили сооснователя Ledger Дэвида Балланда и его жену, ему отрезали палец; их освободило спецподразделение GIGN, часть выкупа впоследствии арестовали через Tether.

Соблюдём пропорцию: несколько десятков задокументированных случаев в год на миллионы владельцев — это статистически редкое событие. Ваша практическая вероятность попасть в эту таблицу невелика. Но механизм связи назван аналитиками прямо: в TRM Labs отмечают, что собранная в интернете персональная информация — адреса, сведения о семье — упрощает подбор жертв для вторжений в жильё, даже когда с самой технологией кошелька всё в порядке. Утёкший адрес не делает нападение вероятным. Он делает его возможным — и это разные вещи.

Как покупать железо дальше

Простой вывод из всей истории: домашний адрес не нужно отдавать в базу, из которой он может утечь. Ledger сам называет способы — они в том же FAQ.

Доставка в пункт выдачи. При оформлении заказа на Ledger.com можно указать не домашний адрес, а пункт самовывоза. Тогда даже в случае следующей утечки в базе окажется адрес отделения, а не ваш подъезд.

Покупка у розничных партнёров. Устройства продаются через официальную партнёрскую сеть, в том числе в офлайновых магазинах, с оплатой наличными, криптовалютой или картой. Офлайн-покупка за наличные не создаёт записи с вашим адресом вообще.

Псевдоним и отдельные контакты. Там, где сервис это позволяет, имя получателя и контактные данные для доставки железа лучше держать отдельно от основной цифровой личности.

Что здесь важно не перепутать: покупать нужно только у производителя или его официальных партнёров. Устройство с рук, с маркетплейса или «в подарок» — самостоятельный риск, гораздо более серьёзный, чем утечка адреса. Общие правила безопасности криптокошелька этот случай тоже покрывают.

Если после этой истории вы пересматриваете не только способ доставки, но и само устройство, критерии выбора собраны отдельно — как выбрать аппаратный кошелёк под свой сценарий: дерево решений, таблица моделей с ценами и полная стоимость владения.

Не путайте с утечкой 2020 года

В выдаче эти два инцидента слились в один, и путаница мешает понять, что происходит. Разведём их.

История 2020 года была тяжелее и длиннее, чем принято помнить. 14 июля 2020 года о проблеме сообщил исследователь через программу вознаграждений. Дыра оказалась в API-ключе стороннего сервиса рассылок Iterable, который был неправильно настроен на сайте Ledger. Изначально компания уведомила 9 500 человек: привлечённая судебная экспертиза нашла доказательства только по ним. 20 декабря 2020 года база была выложена в открытый доступ, и стало ясно, что пострадавших примерно 272 000.

Отдельная линия — Shopify. 23 декабря 2020 года подрядчик сообщил Ledger, что его сотрудники поддержки выгружали клиентские записи. Уведомления по этому эпизоду ушли 13 января 2021 года примерно 292 000 клиентам, но складывать эти числа нельзя: база на 93 % совпадала с уже утёкшей, по-настоящему новых записей там было около 20 000.

Ключевая деталь, которую стоит держать в голове при чтении статей об инциденте 2026 года: формулировка «неправильно настроенный API-ключ» относится к 2020 году. Мы встретили как минимум один разбор, где эта причина приписана январскому инциденту без единой ссылки на источник — при том, что официальный FAQ Ledger по 2026 году прямо говорит, что системы Ledger не участвовали. Если вам попадётся текст, объясняющий январскую утечку API-ключом, — это перепутанные истории.

Слабые места и открытые вопросы

Раздел, которого нет в корпоративных сообщениях.

Прозрачность оставляет желать лучшего. Полгода спустя неизвестны ни число пострадавших, ни дата проникновения, ни механизм. Страница официального уведомления Global-e, на которую ссылались январские публикации, теперь недоступна. Для инцидента, где пострадавшие — люди с подтверждённым владением ценными активами, это мало.

Разделение ответственности работает против пользователя. Формально всё корректно: контролёры данных раздельные, уведомляет тот, у кого инцидент. Практически человек, купивший кошелёк у Ledger, вынужден выяснять отношения с компанией, о существовании которой узнал из письма о взломе.

Проверка подрядчиков по документам — слабая защита. Анкета и договорные обязательства не мешают взломать облако. Модель, при которой производитель устройств для самостоятельного хранения передаёт список своих покупателей внешнему обработчику, остаётся уязвимой сама по себе, независимо от того, насколько хороша криптография в устройстве.

Уязвимость не закрывается на стороне пользователя. Вы не можете «пропатчить» свой адрес. Единственная работающая стратегия — не давать его в следующий раз и исходить из того, что старый уже у кого-то есть.

Что устареет первым в этом тексте: число пострадавших, если его когда-нибудь назовут, статус объявления о продаже базы и цифры физических нападений — база Lopp пополняется постоянно. Актуальные официальные формулировки всегда стоит сверять на странице поддержки Ledger по этому инциденту.

FAQ

Мои монеты в опасности? Нет, если вы никому не сообщали свои 24 слова. Global-e не имела доступа ни к фразе восстановления, ни к адресам кошельков, ни к балансам. Устройство не взломано и не скомпрометировано. Риск сместился с ваших ключей на вас лично — через фишинг и социальную инженерию.

Как понять, попал ли я в утечку? Единственный надёжный признак — письмо от no-reply@global-e.com от 5 января 2026 года с темой «An important notification from Global-e regarding unauthorized access to data». Проверьте спам. Have I Been Pwned на этот вопрос не отвечает: на 28 июля 2026 года записи Global-e в его базе нет, а запись Ledger относится к утечке 2020 года. Можно также запросить копию своих данных через портал приватности Global-e.

Нужно ли переводить средства на новый кошелёк? Не нужно и, скорее всего, вредно. Перевод виден в блокчейне, а спешка делает вас удобной целью для фишинга, рассчитанного как раз на этот момент. Переводить средства стоит только при явных признаках компрометации — например, если появились транзакции, которых вы не совершали.

Мне пришло письмо от Ledger с просьбой подтвердить устройство. Это они? Нет. Ledger не рассылает бумажных писем, не звонит, не пишет в SMS, WhatsApp и Telegram, не просит сканировать QR-коды и никогда не спрашивает 24 слова. Любое такое обращение — попытка обмана, каким бы официальным оно ни выглядело.

Мне на адрес пришла посылка с «заменой» кошелька. Что делать? Считать это мошенничеством. Ledger не отправляет физических предметов по своей инициативе. Не подключайте устройство, не сканируйте ничего из вложенных материалов, не вводите фразу восстановления. Сфотографируйте посылку и сообщите в официальную поддержку.

Можно ли добиться удаления своих данных у Global-e? Да, у компании есть портал приватности с формой запроса на удаление и на получение копии данных, а также отдельный адрес dataprotection@global-e.com. Форма требует имя, фамилию, электронную почту, название магазина и номер заказа. По вопросам компенсаций Ledger отправляет к Global-e.

Стоит ли перейти на кошелёк другого производителя? Инцидент не даёт оснований для такого решения: утекли данные подрядчика по доставке, а не что-либо связанное с устройством. Смена бренда не удалит ваш адрес из чужой базы. Другие производители пользуются такими же посредниками для международных заказов, так что структурный риск сохраняется. Разумнее изменить способ покупки — пункт выдачи вместо дома, отдельный ящик, офлайн-покупка.

Насколько реален риск физического нападения? Статистически он невелик: в публичной базе задокументированных нападений за 2025 год 82 случая на весь мир, за 2026-й — 44 по состоянию на 13 июня. При этом аналитики TRM Labs указывают, что собранные в сети персональные данные упрощают подбор жертв для вторжений в жильё, а Франция, где базируется Ledger, даёт непропорционально большую долю случаев. Практический вывод простой: не рассказывать публично о своих активах и не оставлять домашний адрес там, где без него можно обойтись.