Ledger подтвердила, что некоторые из ее устройств были скомпрометированы аппаратным имплантом, который задействовался для кражи криптовалюты с кошельков пользователей. Утрата средств пользователей фиксировалась на кошельках, приобретенных через CryptoBilis, крупного малазийского розничного продавца аппаратных кошельков, работающего в Юго-Восточной Азии. Некоторые из исследователей обнаружили имплантат в Ledger X еще 16 сентября, отмечая при этом, что модифицированные устройства доступны почти за половину цены оригинального оборудования. 9 октября Ledger заявила о начале расследования после многочисленных сообщений пользователей кошельков, связанных с кражей криптовалюты, потребовав от CryptoBilis в незамедлительном порядке прекратить продажу и поставку устройств Ledger. На следующий день компания подтвердила факт вмешательства в работу оборудования как минимум одного устройства, хотя до сих пор неясно, как именно и когда это произошло. Разработчик криптокошелька также отметил, что сотрудничает с силовыми структурами для установления личности преступника и привлечения его к ответственности. Совсем недавно Ledger выкатила очередное уведомление, вновь и окончательно подтверждая, что все сообщения пользователей о неожиданном выводе средств связаны с устройствами, проданными через CryptoBilis, но характеризуя инцидент как «ограниченный». При этом компания не раскрыла тип устройств, скомпрометированных в результате этой атаки на цепочку поставок, однако в глобально паутине уже появились сообщения о шпионском импланте в устройства Ledger X, который полностью сливается с легитимным оборудованием. В Karpeles Lab Inc. даже показали фотографию этого имплантата в Ledger X, отметив «значительный прогресс» по сравнению с предыдущими версиями, в которых провода припаивались вручную. Имплантат был скрыт за экраном, но его антенный кабель все же указывал на наличие проблемы. Вредоносное оборудование перехватывало изображение с экрана устройства и нажатия кнопок для идентификации исходной фразы, а затем передавало ее злоумышленнику через LTE-соединение с использованием eSIM. Пока CryptoBilis официально не фигурирует в качестве поставщика вредоносного LedgerX, упоминается, что устройство приобреталось не через рекомендованные Ledger каналы, а у «известной платформы через китайского продавца (из Малайзии)». В Tibane Labs также подтверждают выводы Karpeles, добавляя о реализации сразу двух версии импланта для Ledger X. Один в устройстве Ledger, купленном на Amazon Japan у «китайского продавца, доставленного из Малайзии», а другой - на аукционе Yahoo! Auctions в Японии. В их отчете отмечается, что злоумышленник создал место для вредоносной схемы, заменив оригинальную батарею на меньшую по размеру, которая питает как имплант, так и Ledger X. Под батареей и антенной находится микроконтроллер ST STM32G431KBU6 (Arm Cortex‑M4, 128 КБ флэш-памяти, UFQFPN‑32). Для обеспечения связи атакующий использовал «крошечную» eSIM, 8-контактный модуль размером всего 2×2 мм, расположенный рядом с микроконтроллером, и экранированный модуль LTE, передающий данные. Во втором изученном кошельке исследователи обнаружили, что маркировка как на микроконтроллере (MCU), так и на eSIM-карте была стерта, чтобы скрыть номера компонентов. Второй вариант, который, по всей видимости, идентичен описанному Karpeles, более совершенен. Он работал от оригинальной батареи и помещался в пространство, обычно занимаемое поролоновой прокладкой под OLED-дисплеем. В обоих случаях отличительной чертой был провод антенны, который во втором случае проходил вдоль верхнего края имплантата. Исследователи предупредили, что в упомянутом образце использовалась «разработанная, панельная гибкая печатная плата, заказанная у специализированной компании в серийном исполнении». Ledger советует пользователям избегать неавторизованных селлеров и полагаться на «проверку подлинности» устройства. Но она не позволяет обнаружить импланты, если исходный защищенный элемент устройства остается неповрежденным.