Связаться с нами

133 SOL исчезли с кошелька Ledger

Пользователь сообщил, что потерял 133 SOL вскоре после перевода с Bybit на кошелёк Ledger. Спустя год причина оставалась неизвестной. AML Crypto изучила историю, проверила возможные совпадения в блокчейне и разобрала версии произошедшего.

→ Кошелёк, который опустел за несколько минут
→ Защищённый кошелёк и одна забытая деталь
→ Можно ли потерять криптовалюту с отключённого Ledger?

Получить консультацию экспертов AML Crypto

Кошелёк, который опустел за несколько минут

30 сентября 2025 года на Reddit появилась необычная история о пропаже криптовалюты с аппаратного кошелька Ledger. Пользователь под ником Impossible_Stand8530 рассказал, что примерно год назад лишился 133 SOL, но так и не смог разобраться, каким образом это произошло.

Оригинальный пост пользователя Impossible_Stand8530 о своем инциденте

Незадолго до инцидента владелец перевёл свои Solana на криптобиржу Bybit для проведения сделки. Закончив операции, он отправил средства обратно на Ledger, убедился, что монеты поступили на нужный адрес, и завершил работу с устройством.

Следующий раз пользователь открыл кошелёк только спустя месяц. Вместо ожидаемых 133 SOL он обнаружил исходящую транзакцию на 131 SOL, отправленных на неизвестный адрес. После неё в истории отображались многочисленные небольшие входящие переводы и ещё несколько исходящих операций, в результате которых оставшиеся средства также исчезли.

Примечание редакции: В рамках подготовки материала мы провели собственное исследование, пытаясь установить адрес кошелька пострадавшего и найти описанные им транзакции в сети Solana. Для этого были проанализированы десятки адресов, получавших переводы от Bybit в предполагаемый период инцидента. Мы сопоставляли суммы поступлений и выводов, временные интервалы между операциями и последующую активность кошельков.

Однако обнаружить адрес, достоверно соответствующий описанной истории, не удалось. При этом сам автор публикации на Reddit не предоставил публичный адрес своего кошелька, хеши транзакций или другие данные, позволяющие независимо проверить его заявления.

Отсутствие подтверждения не означает, что инцидента не было. Наше исследование было ограничено доступными историческими данными и предполагаемыми параметрами переводов. Для полноценной блокчейн-экспертизы необходимы конкретные адреса или идентификаторы транзакций, а не предположения о том, какие операции могли принадлежать пострадавшему.

Пользователя спрашивали, почему он не постил транзакции, но ответа он не предоставил

Однако самым странным оказалось время этих транзакций. Судя по истории операций, которую изучил пострадавший, первый крупный вывод произошёл всего через десять минут после того, как он пополнил кошелёк с Bybit.

Владелец утверждал, что вскоре после пополнения отключил Ledger от компьютера. Устройство больше не использовалось, а seed-фраза, по его словам, хранилась исключительно на бумаге, вдали от посторонних глаз.

Получалось противоречие: криптовалюта покинула кошелёк почти сразу после его пополнения, хотя владелец считал, что уже завершил работу и отключил устройство.

Спустя год он решил публично рассказать о произошедшем. Причём целью обращения на Reddit был не возврат средств — пользователь понимал, что рассчитывать на него уже не приходится. Он хотел выяснить, какую ошибку допустил, прежде чем снова начать пользоваться криптовалютой.

Главный вопрос оставался прежним: если приватные ключи находились внутри аппаратного кошелька, а само устройство было отключено, кто и каким образом смог отправить 133 SOL на другие адреса?

Защищённый кошелёк и одна забытая деталь

Владелец Ledger был уверен, что достаточно надёжно защитил свои средства. По его словам, устройство было приобретено непосредственно у производителя, а seed-фраза с самого начала хранилась на бумаге и никогда не вводилась на компьютере.

Единственным подозрительным обстоятельством он считал подключение Ledger через USB к компьютеру, который мог быть заражён вредоносным ПО. Пользователь предполагал, что злоумышленник каким-то образом получил удалённый доступ к устройству и вывел криптовалюту.
Однако участники обсуждения на Reddit усомнились в этой версии. Они напомнили, что аппаратный кошелёк не передаёт приватные ключи компьютеру при обычном подключении. Даже заражённая система не должна иметь возможности самостоятельно подписывать операции от имени владельца без доступа к ключам.

Пострадавшего начали расспрашивать о происхождении устройства, генерации seed-фразы и возможных подтверждениях транзакций. В ответах выяснилась дополнительная деталь: после пополнения Ledger оставался подключённым к компьютеру ещё около десяти минут — приблизительно столько же времени, сколько, по воспоминаниям владельца, прошло до первого подозрительного вывода.

Но наиболее интересное уточнение появилось позже. В ответ на предположение одного из участников, что кто-то мог заранее получить доступ к кошельку и ожидать крупного пополнения, автор признал, что такая версия возможна.

Он также вспомнил, что в период инцидента обновлял прошивку Ledger и мог случайно подтвердить какие-то операции, не осознавая их назначения. Сам пользователь уже не помнил, происходило ли это на самом деле.

“I could very well have signed trades without realizing it, although I don't remember doing it but I think it's possible. At that time I was updating the ledger firmware” - пишет Impossible_Stand8530

Перевод: ”Вполне возможно, что я подписал какие-то транзакции, сам того не осознавая. Хотя я не помню, чтобы делал это, но допускаю такую возможность. В то время я как раз обновлял прошивку Ledger” - пишет Impossible_Stand8530

Таким образом, первоначальная уверенность в полностью удалённом взломе постепенно сменилась сомнениями. Возможно, проблема заключалась не в обходе защиты аппаратного кошелька, а в действиях, которые владелец совершил во время работы с устройством. Однако никаких доказательств этой версии представлено не было.

Можно ли потерять криптовалюту с отключённого Ledger?

Главное заблуждение в этой истории связано с самим понятием холодного хранения. Криптовалюта физически не находится внутри Ledger - устройство хранит приватные ключи, необходимые для управления средствами в блокчейне.

Поэтому отключение аппаратного кошелька от компьютера не означает, что монеты становятся абсолютно недоступными. Если кто-то ранее получил seed-фразу, он может восстановить кошелёк на другом устройстве и распоряжаться активами независимо от оригинального Ledger. Другой возможный сценарий - пользователь самостоятельно подтвердил вредоносную операцию, не разобравшись в её содержании.

В случае с обычным переводом SOL необходима действительная авторизация соответствующего аккаунта. Но какие именно подписи присутствовали в истории пострадавшего, установить не удалось.

Сам автор не опубликовал адрес кошелька или идентификаторы подозрительных транзакций. Это не позволяет проверить, куда именно отправились 131 SOL, что представляли собой последующие небольшие переводы и были ли они связаны с первоначальным выводом.

Если вы столкнулись с похожей потерей, начните с сохранения публичного адреса кошелька, идентификаторов подозрительных транзакций и хронологии своих действий. Эти данные позволяют перейти от предположений к проверке. AML Crypto помогает расследовать кражи криптовалюты: анализирует движение средств, готовит материалы и сопровождает взаимодействие с криптосервисами и правоохранительными органами. На бесплатной первичной консультации мы оценим доступные сведения и объясним, какие дальнейшие действия имеют смысл. Seed-фраза и приватные ключи для такого анализа не нужны.

Участники Reddit усомнились в версии удалённого взлома Ledger и предположили, что злоумышленник мог получить доступ к seed-фразе. Пострадавший возразил, что хранил её исключительно на бумаге, а устройство приобрёл у официального производителя. При этом он уточнил, что Ledger оставался подключённым к компьютеру ещё около десяти минут после пополнения.

Пользователь is_NAN объясняет, что обычное подключение Ledger к заражённому компьютеру не должно раскрывать приватные ключи. Он предлагает три возможных объяснения: seed-фраза когда-то оказалась на скомпрометированном устройстве, была изначально создана в программном кошельке либо сам Ledger был приобретён из ненадёжного источника.

Пострадавший отвергает эти предположения, но сообщает новую деталь: устройство оставалось подключённым к компьютеру приблизительно десять минут.

В ответ is_NAN утверждает, что даже подключённый Ledger требует физического подтверждения транзакций. Другой участник добавляет, что при наличии seed-фразы злоумышленник мог восстановить кошелёк на другом устройстве.

К чему они приходят: участники считают компрометацию seed-фразы более вероятной, чем удалённое управление Ledger.

В результате обсуждение на Reddit не привело к окончательному ответу. Участники предложили несколько технически возможных объяснений, а пострадавший вспомнил дополнительные обстоятельства, но ни одна версия не получила достаточного подтверждения.

Спустя год пользователь всё ещё пытался разобраться в произошедшем. Он уже не рассчитывал вернуть криптовалюту - его интересовало, какую именно ошибку он допустил и как избежать её в будущем.

И в этом заключается главная особенность истории: блокчейн может сохранить точное время, суммы и подписи транзакций, но не способен самостоятельно объяснить, почему человек разрешил ту или иную операцию.

Владелец Ledger знает, что его 133 SOL исчезли вскоре после пополнения кошелька. Но даже спустя год он не смог установить, каким образом это произошло.