Б/у аппаратный кошелёк: почему чужое устройство не берут
НазадБ/у аппаратный кошелёк: почему чужое устройство не берут
- Почему дешёвое объявление выглядит так убедительно
- Что может быть не так с устройством, которое уже было у кого-то
- Почему сброс настроек не доказывает, что кошелёк чист
- Новое у официального продавца или с рук: что сравнивать
- Что делать, если устройство уже у вас, а в коробке была seed-фраза
- Частые вопросы
- Источники
Объявление обещает Ledger Nano или Trezor Model T за половину цены от магазина, продавец пишет «пользовался месяц, всё работает, отдам с коробкой». Выглядит как удачная находка, но именно так начинается одна из самых частых схем обмана с криптокошельками: устройство приходит уже настроенным, а seed-фраза уже знакома не только вам.
- Почему дешёвый Ledger или Trezor с рук обычно дороже новой покупки.
- Три задокументированные схемы компрометации устройства до того, как оно попало к вам.
- Что делать, если такое устройство уже у вас дома.
Почему дешёвое объявление выглядит так убедительно
Коротко: продавец экономит покупателю 30-50% от цены нового устройства, а в ответ получает кошелёк, доступ к которому у него уже есть или появится после первого пополнения.
Схема известна с первых лет продаж аппаратных кошельков и подробно описана самим Ledger в официальном предупреждении для пользователей. Покупатель получает устройство, которое уже «инициализировано»: на экране или на бумажной карточке внутри коробки напечатаны 24 слова seed-фразы. Инструкция обычно звучит так же просто, как «включите и восстановите кошелёк этой фразой». Проблема в одном: эту фразу уже знает человек, который её напечатал, и как только на кошелёк приходят средства, он может вывести их в любой момент.
Настоящий Ledger или Trezor никогда не продаётся с seed-фразой внутри коробки. Фразу устройство генерирует само при первом включении, и до этого момента её просто не существует. Если фраза уже где-то написана, устройство нельзя использовать.
Что может быть не так с устройством, которое уже было у кого-то
Коротко: кроме классической схемы с готовой seed-фразой, встречаются и более технические способы компрометации, которые заметить на глаз почти невозможно.
- Готовая seed-фраза в коробке. Самый частый случай: продавец сам генерирует фразу, печатает её на карточке и отдаёт устройство вместе с ней, рассчитывая на пополнение счёта новым владельцем.
- Подменённая прошивка на уровне микроконтроллера. Собственное исследование безопасности Ledger (Security Bulletin 002) описывает и подтверждает сценарий, где изменённая прошивка вместо настоящей генерации случайной фразы показывает пользователю заранее заданные 24 слова, известные продавцу.
- Аппаратный имплант внутри корпуса. В 2025 году исследователь безопасности нашёл встроенный чип в Trezor Model T, купленном через Facebook Marketplace в Канаде. Чип хранил заранее подготовленный набор фраз и показывал одну из них как будто случайную, а проверка целостности прошивки при этом проходила на копии настоящего кода, а не на реальном поведении импланта.
Почему сброс настроек не доказывает, что кошелёк чист
Коротко: сброс до заводских настроек убирает данные с устройства, но ничего не говорит о том, что происходило с его микросхемами и прошивкой до того, как оно попало к вам.
Имплант, встроенный физически в плату, не исчезает после сброса: он живёт на уровне железа, а не пользовательских настроек. Поддельная или изменённая прошивка тоже может пройти собственную проверку целостности, если она написана с расчётом именно на такую проверку, как в случае с Trezor Model T из отчёта 2025 года. Поэтому единственный способ быть уверенным в устройстве, это знать всю цепочку поставки: от производителя до авторизованного продавца, без промежуточных рук.
Сид-фразу должно показать само устройство при самом первом включении, и больше никогда. Если на экране при первом старте уже есть готовые слова, или фраза лежит на бумаге в коробке, использовать такой кошелёк нельзя: нужно обратиться в поддержку производителя, не отправляя на него ни рубля.
Новое у официального продавца или с рук: что сравнивать
Коротко: разница в том, были ли вы первым человеком, который включил устройство, а не в цене.
| Параметр | Новое у официального продавца | С рук / маркетплейс |
|---|---|---|
| Пломба и упаковка | Целая, вскрывается покупателем | Часто уже вскрыта или заменена |
| Seed-фраза при получении | Отсутствует, генерируется вами | Иногда уже написана продавцом |
| Гарантия производителя | Действует | Как правило, не действует |
| История устройства до вас | Известна, один канал поставки | Неизвестна |
Что делать, если устройство уже у вас, а в коробке была seed-фраза
Коротко: дальше действовать по короткому плану, а готовую фразу не вводить и деньги на этот кошелёк не переводить.
- Не используйте готовую фразу. Она уже известна третьему лицу, и вводить её в приложение или на само устройство не нужно.
- Не отправляйте на адрес устройства ни рубля. Любая сумма, пришедшая на такой кошелёк, может быть выведена тем, кто написал фразу.
- Сбросьте устройство и попробуйте сгенерировать новую фразу сами. Если экран при старте снова предлагает готовые слова вместо генерации, устройство нельзя использовать вовсе.
- Обратитесь в официальную поддержку производителя. Там подскажут, можно ли доверять конкретному экземпляру, и помогут с заменой.
Проверить подлинность конкретной модели перед покупкой помогает отдельный разбор о том, как отличить оригинал Ledger и SafePal от подделки, а если устройство уже у вас и нужно обновить прошивку, пригодится инструкция, как безопасно обновить прошивку аппаратного кошелька.
Новые Ledger, Trezor, Coldcard и другие модели с целой пломбой и гарантией производителя, без истории от предыдущего владельца.
Частые вопросы
Можно ли купить б/у Ledger, если упаковка выглядит целой?
Главный риск в том, что устройство уже включали и настраивали до вас, а не в целости упаковки. Внешне целая коробка не гарантирует, что внутри устройства нет изменённой прошивки или импланта.
Что делать, если в коробке с устройством уже лежит бумага с 24 словами?
Не использовать эту фразу и не отправлять на кошелёк деньги. Нужно попробовать сбросить устройство и сгенерировать новую фразу самостоятельно, а если это не получится, обратиться в поддержку производителя.
Доказывает ли сброс до заводских настроек, что кошелёк безопасен?
Нет. Сброс убирает только пользовательские данные. Изменения на уровне микросхемы или специально написанная поддельная прошивка могут остаться и после сброса, это подтверждено реальным случаем с имплантом в Trezor Model T в 2025 году.
А если продавец показывает чек из официального магазина?
Чек подтверждает только то, что устройство когда-то купили новым, а не то, что с ним не происходило ничего между той покупкой и вашей сделкой. Любой такой промежуток без вашего контроля несёт риск.
Чем официальный продавец отличается от маркетплейса в этом вопросе?
У официального продавца устройство идёт прямым каналом от производителя, без промежуточных рук и без шанса, что кто-то успел вскрыть упаковку и что-то изменить внутри.
Стоит ли экономия риска потерять все средства на кошельке?
Разница в цене между новым и б/у устройством обычно в несколько тысяч рублей, а на кошелёк часто переводят суммы, многократно превышающие эту разницу. Один скомпрометированный кошелёк может стоить всех накоплений.
Источники
- Официальное предупреждение Ledger о мошенничестве с б/у устройствами («Scam warning on second hand Ledger devices»).
- Разбор схемы с готовой seed-фразой в коробке от Ledger Support («Pre-Seed device Scams»).
- Security Bulletin 002 от Ledger Donjon, описание и подтверждение атаки с подменой генерации seed-фразы на устройстве.
- Исследование импланта в Trezor Model T, купленном через Facebook Marketplace (Канада, 2025 год), Kim Zetter, Zero Day.
Данные о схемах мошенничества и описанных уязвимостях актуальны на 21.10.2026 и основаны на официальных материалах производителей и опубликованных исследованиях безопасности.
