Аппаратный кошелек с готовой seed-фразой: почему это опасно

Вы заказали аппаратный кошелек на маркетплейсе и получили запечатанную коробку с голографическими наклейками. Внутри лежит карточка со стираемым защитным слоем, под которым напечатаны 24 слова, а инструкция предлагает ввести эту «фразу активации» при первой настройке. Воспользовавшись ею, вы восстановите кошелек с ключами, которые уже известны тому, кто подготовил карточку, и этот человек сможет забрать средства, поступившие на адреса этого кошелька.

Получив кошелек с готовой seed-фразой, остановите настройку и не переводите средства. Запечатанная упаковка и высокий рейтинг продавца не делают такую фразу безопасной. Разберем, как мошенники готовят устройства к продаже и что делать, если вы уже воспользовались фразой из комплекта.

Как создается seed-фраза при настройке

Когда вы выбираете создание нового кошелька, устройство генерирует случайные данные, которые называют энтропией. Из них формируются секретные данные кошелька и резервная копия, с помощью которой можно восстановить доступ к средствам. В кошельках, использующих стандарт BIP39, вы обычно записываете 12 или 24 слова с экрана устройства. Современные Trezor также поддерживают резервные копии из 20 слов по стандарту SLIP39. Подробнее о назначении этих слов можно прочитать в нашей статье о seed-фразе и восстановлении кошелька.

Ledger, Trezor, BitBox и Keystone используют разные механизмы генерации и резервного копирования, но ни в одном из них для создания нового кошелька не нужны слова от продавца. Фраза должна появиться во время настройки, которую вы выполняете сами, и оставаться неизвестной производителю, продавцу и любым другим людям.

Напечатанную фразу следует считать скомпрометированной, поскольку тот, кто подготовил карточку, видел все слова и мог сохранить их копию, прежде чем закрыть их защитным слоем.

Новые устройства Trezor поставляются без установленной прошивки. Вы устанавливаете ее при первом подключении, а загрузчик проверяет цифровую подпись. Если только что купленный Trezor сообщает, что прошивка уже установлена, производитель советует обратиться в поддержку, прежде чем продолжать настройку.

Как мошенники готовят кошелек к продаже

Чтобы навязать покупателю готовую seed-фразу, мошеннику достаточно настоящего устройства и поддельной инструкции. Такой кошелек может работать нормально и пройти проверку подлинности, хотя у злоумышленника уже есть копия его фразы. Схема выглядит так:

1. Устройство настраивают заранее. Мошенник создает кошелек и записывает seed-фразу, с помощью которой позже сможет восстановить его на другом устройстве.
2. Фразу печатают на карточке и закрывают защитным слоем. Внешне она напоминает карту пополнения мобильного счета, поэтому покупатель может принять ее за обычную часть комплекта.
3. В комплект кладут измененную инструкцию, в которой восстановление кошелька по известной мошеннику фразе называют обязательной «активацией». Покупатель, впервые настраивающий такое устройство, может просто выполнить эти указания.
4. Коробку упаковывают заново. Пленку и голографические наклейки можно купить отдельно, поэтому посылка может выглядеть так, словно ее только что отправили с завода.
5. Кошелек выставляют на продажу, привлекая покупателей скидкой или объяснением вроде «подарили два, продаю один запечатанный». Впрочем, мошенники могут продавать его и по обычной рыночной цене.

Более сложный вариант — поддельное устройство с измененной прошивкой, которое имитирует создание нового кошелька, подставляя слова, известные злоумышленникам. В этом случае покупатель может сам записать фразу с экрана, даже не подозревая, что она была определена заранее.

Почему средства могут исчезнуть не сразу

Если кошелек не защищен дополнительной парольной фразой (passphrase), копии seed-фразы достаточно, чтобы восстановить его ключи, отслеживать поступления через обозреватель блокчейна или автоматический скрипт и вывести средства. Смена PIN-кода не меняет seed-фразу. PIN защищает доступ к конкретному устройству, а мошенник может восстановить тот же кошелек на другом, воспользовавшись копией фразы.

Первые небольшие пополнения могут остаться нетронутыми, поскольку покупатель часто начинает с проверки: переводит небольшую сумму, отправляет ее обратно и, убедившись, что все работает, переносит основные сбережения. В случае с поддельным Trezor Model T, который исследовала Kaspersky, злоумышленники вывели средства только через месяц после первого пополнения.

Другие мошенники автоматизируют вывод и забирают средства вскоре после поступления. По первым переводам покупатель не может понять, что задумали злоумышленники: успешная тестовая транзакция не доказывает, что доступ к кошельку есть только у вас.

Известные случаи подмены кошельков

Подмена может затронуть карточку со словами, само устройство или приложение для его настройки, как показывают приведенные ниже случаи.

Потеря 50 млн юаней после покупки кошелька через Douyin

В июне 2025 года SlowMist сообщила о покупателе, который потерял криптоактивы стоимостью около 50 млн юаней после приобретения аппаратного кошелька через китайский сервис Douyin.

Поддельный Trezor Model T с 20 заранее записанными фразами

В 2023 году Kaspersky опубликовала разбор поддельного Model T, купленного на сайте объявлений; по уточнению Trezor, сам инцидент произошел более чем за год до публикации. Устройство имело привычный интерфейс, но другой микроконтроллер и измененную прошивку, которая при создании кошелька подставляла одну из 20 заранее записанных фраз.

Если владелец добавлял passphrase, поддельная прошивка использовала только ее первый символ. В результате оставалось 64 варианта, включая отсутствие passphrase, поэтому злоумышленникам было достаточно проверить 20 × 64 = 1280 комбинаций. Trezor подтвердила модификацию и уточнила, что продавец не был авторизован производителем.

Подмененные устройства Ledger, которые рассылали по почте после утечки данных

В 2020 году в результате утечки клиентских данных Ledger стали доступны более миллиона электронных адресов, а также контактные данные части покупателей, в том числе адреса доставки. Seed-фраз в этой базе не было. В 2021 году пользователи сообщали о посылках с Nano X, которые они не заказывали: устройства приходили в запечатанной упаковке с письмом якобы от генерального директора Ledger Паскаля Готье. В нем предлагали перейти на «новое безопасное устройство» после утечки.

Внутри модифицированного кошелька был припаян USB-накопитель с вредоносным программным обеспечением. Инструкция предлагала ввести существующую фразу из 24 слов в приложение для «переноса» кошелька, после чего слова попадали к мошенникам. Ledger описывает этот способ подмены и предостерегает от подключения устройств, которые вы не заказывали.

Поддельный Nano S Plus с вредоносным приложением

В апреле 2026 года исследователь из Бразилии опубликовал анализ поддельного Ledger Nano S Plus, купленного на китайском маркетплейсе. Внутри он обнаружил микроконтроллер ESP32-S3 со стертой маркировкой, а в памяти устройства нашел seed-фразы и PIN-коды в открытом виде. Вместе с подделкой продавец распространял измененное приложение под названием Ledger Live, которое передавало данные злоумышленникам.

Исследователь уточнил, что такая подделка не может пройти Genuine Check в официальном приложении Ledger, а сообщение об успешной проверке во вредоносной программе было запрограммировано заранее. Продавец направлял покупателя на клонированный сайт по QR-коду из комплекта, чтобы тот установил именно поддельное приложение.

Другие способы навязать вам чужую фразу или получить вашу

Карточка со словами — не единственный признак мошенничества. В других схемах покупателю предлагают пользоваться уже настроенным кошельком, установить поддельное приложение или передать собственную фразу под предлогом проверки:

• Готовый PIN-код. К устройству прилагают карточку с кодом и инструкцию, в которой утверждается, что seed-фраза не нужна и доступ обеспечивает только PIN. imKey сообщала о продаже уже активированных устройств с измененными инструкциями через неавторизованных продавцов. Кошелек уже настроил кто-то другой, поэтому его ключи могли остаться у постороннего человека.
• QR-код «для активации» ведет на сайт с поддельным приложением, которое выдают за Ledger Wallet или Trezor Suite. Оно может попросить ввести существующую фразу или предложить слова, якобы сгенерированные для вас. Именно QR-код на клонированный сайт сопровождал поддельный Nano S Plus, описанный выше.
• Бумажное письмо с требованием проверки. От имени производителя вам предлагают отсканировать QR-код и «верифицировать» кошелек на сайте, введя слова резервной копии. Ledger сообщает о таких фишинговых кампаниях. Для настоящей проверки устройства не нужно передавать seed-фразу через сайт.
• «Найденная» seed-фраза. В схеме, которую описала Kaspersky, мошенники публикуют слова в комментариях, оставляя на соответствующем адресе USDT в качестве приманки. Человек, который пытается забрать токены, переводит TRX для оплаты комиссии, после чего эти TRX исчезают. Вывести USDT не удается, поскольку права на подписание транзакций в сети TRON настроены так, что опубликованного ключа недостаточно для этой операции. Импортировав фразу, вы увидите баланс, но не получите полного контроля над средствами.

Откуда мошенники знают ваше имя и адрес

Поддельное письмо может содержать ваши настоящие данные, если мошенники получили их из базы заказов. В августе 2026 года Trezor сообщила об утечке у логистического партнера ShipMonk, а в сентябре уточнила, что она затронула и часть старых заказов. Среди раскрытых данных были имена, электронные адреса, телефоны и адреса доставки. Компания отметила, что ее системы и устройства не были скомпрометированы, и предупредила о риске адресного фишинга. Знание вашего имени и адреса не подтверждает, что письмо отправил производитель.

Кошелек с готовой seed-фразой: что делать после получения

Если вы получили кошелек с готовой seed-фразой, но еще не переводили средства, прекратите настройку и договоритесь о возврате устройства. Если на адресах этого кошелька уже есть активы, сначала перенесите их на новый кошелек с фразой, которую вы создали сами на проверенном устройстве.

1. Отложите подозрительное устройство и не используйте фразу из коробки. Не подключайте его к компьютеру даже для проверки: внутри может быть измененная прошивка или дополнительный USB-компонент, как в случае с Ledger, которые рассылали по почте.
2. Не отправляйте тестовые суммы и не импортируйте чужую фразу в программный кошелек из любопытства, поскольку средства на ее адресах могут забрать злоумышленники.
3. Если средства уже на этих адресах, перенесите их как можно скорее. Создайте новый кошелек на проверенном устройстве и переводите активы на его адреса, начиная с самых ценных. Если для перевода нужно восстановить старый кошелек, используйте другое совместимое устройство, которому вы доверяете. Выбирайте комиссию, достаточную для быстрого подтверждения в соответствующей сети. Если средства, переведенные для оплаты комиссии, сразу исчезают, прекратите пополнения и обратитесь в официальную поддержку: их может забирать автоматический скрипт мошенника.
4. Сохраните доказательства и сообщите о мошенничестве. Сфотографируйте коробку, карточку и инструкцию, сохраните страницу товара, переписку и идентификаторы переводов, если они были. На фотографиях, которые отправляете с жалобой или публикуете, скройте слова фразы и PIN-код: поддержке эти данные не нужны. С этими материалами обратитесь к продавцу, администрации площадки и в официальную поддержку производителя.
5. Согласуйте возврат устройства. Сброс настроек может стереть старые ключи, но не подтверждает подлинность аппаратной части и безопасность прошивки. Повторно настраивать подозрительный кошелек для хранения средств не стоит.

Если во время «активации» вы ввели в поддельное приложение фразу своего прежнего кошелька, считайте эту фразу скомпрометированной. Проверьте все связанные с ней счета и сети и перенесите доступные активы на новый кошелек с другой фразой. Для переводов используйте официальное приложение на проверенном компьютере или смартфоне, на котором вы не запускали подозрительную программу. После удаления поддельного приложения украденная фраза остается у мошенника.

Как проверить покупку и правильно создать кошелек

До оплаты проверьте продавца, а после получения устройства следуйте инструкции производителя для своей модели. Установив происхождение покупки и выполнив проверки подлинности, можно переходить к созданию кошелька:

• Покупайте у производителя или авторизованного продавца. Проверьте его статус на официальном сайте бренда. Отметка «проверенный продавец» на маркетплейсе и высокий рейтинг не заменяют авторизацию производителем.
• Избегайте подержанных устройств и предложений неизвестного происхождения. По фотографии запечатанной коробки невозможно установить, открывали ли ее раньше и что делали с кошельком до продажи.
• Скачивайте приложение самостоятельно с официального сайта. Не устанавливайте программу с накопителя из коробки и не полагайтесь на ссылку продавца. Поддельное приложение может имитировать успешную проверку подлинности.
• Пройдите проверки, предусмотренные производителем. В Ledger Wallet функция Genuine Check криптографически подтверждает подлинность защищенного чипа. Trezor Suite проверяет установленную прошивку, а для моделей семейства Safe выполняет проверку подлинности устройства с участием защищенных чипов. Цифровую подпись прошивки Trezor проверяет загрузчик. Для Keystone 3 Pro используйте официальный инструмент Device Verification. Если проверка не проходит, прекратите настройку и обратитесь в поддержку.
• Создайте новый кошелек и запишите его резервную копию. Если это ваш первый кошелек, выберите создание нового, а не восстановление по фразе продавца. Записывайте слова с экрана проверенного устройства и храните их отдельно от него. Способы защиты резервной копии мы разобрали в материале о хранении seed-фразы. Если же вы переносите собственный кошелек, используйте только свою резервную копию, следуя официальной инструкции по восстановлению.

Если вы подбираете устройство на замену подозрительной покупке, воспользуйтесь нашим сравнением аппаратных кошельков в 2026 году: в нем разобраны поддержка активов, подключение к смартфону, способы защиты и восстановления доступа.

Итоги

Кошелек с готовой seed-фразой дает доступ к средствам и тому, кто подготовил эту фразу. Защитное покрытие карточки, целая упаковка и успешные тестовые переводы этого не меняют. Если вы уже перевели активы на ее адреса, перенесите их на кошелек с новой фразой, созданной на проверенном устройстве.

Настраивайте новый аппаратный кошелек сами, используя официальное приложение и инструкцию производителя. Если вместо создания собственной резервной копии вам предлагают готовые слова, готовый PIN-код или ввод seed-фразы на сайте, прекратите настройку и обратитесь в официальную поддержку.