Portfel sprzętowy gwarantuje dokładnie jedno: klucz prywatny nie opuszcza układu scalonego. To realna i ważna gwarancja, i ona działa.
Nie obejmuje jednak trzech innych rzeczy. Urządzenie nie gwarantuje, że rozumiesz, co dokładnie podpisujesz. Nie gwarantuje, że pudełka nikt nie otwierał przed tobą. I nie gwarantuje, że twoje imię wraz z adresem domowym nie leży w bazie, która już wyciekła. Pieniądze traci się właśnie tutaj, a nie przez złamanie układu.
Najważniejsze z tego tekstu: żadnego z trzech sposobów utraty środków nie leczy zakup droższego modelu. Jesteśmy kantorem, a nie sklepem z portfelami: recenzji urządzeń tutaj nie będzie, będzie omówienie tego, o czym producent w reklamie nie pisze.
Ślepy podpis: potwierdzasz to, czego nie widzisz
To główny sposób utraty środków mimo posiadania sprzętu. Przy ślepym podpisie urządzenie pokazuje nie sens operacji, lecz surowe dane, ciąg znaków, z którego człowiek nie widzi ani kwoty, ani adresu odbiorcy.
Naciskasz „potwierdź”, klucz uczciwie nie opuszcza układu, podpis uczciwie zostaje złożony. Tylko podpisałeś nie to, co myślałeś.
Klasyczny scenariusz to interakcja z inteligentnym kontraktem przez podstawioną stronę. Sądzisz, że potwierdzasz wymianę niewielkiej kwoty, a w rzeczywistości udzielasz zgody na dysponowanie całym saldem tokena. Klucz przy tym nigdzie nie wyciekł: środki poszły przez twój własny podpis.
Znamienne, że sam Ledger promuje „czytelny podpis” (clear signing) jako odpowiedź na tę dziurę. Czyli problem został uznany przez producenta.
I uznano rzecz najważniejszą: samym sprzętem się jej nie rozwiąże, bo czytelność operacji zależy od aplikacji i kontraktu, a nie od urządzenia. Źródło: działy Ledger Academy o blind signing i clear signing.
Dlaczego „zapieczętowane pudełko” niczego nie dowodzi
Prawdziwe urządzenie nigdy nie jest dostarczane z gotową frazą seed ani z ustawionym PIN-em. To bezpośrednie sformułowanie producenta.
Jeśli w pudełku leży karta z już wpisanymi słowami albo instrukcja „użyj tego PIN-u do aktywacji”, to nie jest fabryczne udogodnienie, to cudzy portfel, do którego dano ci dostęp. Zasilasz adres, do którego klucz od samego początku ma inna osoba.
Jest tu druga część, o której mówi się rzadziej. Weryfikacja autentyczności układu, którą urządzenie przechodzi przy podłączeniu do firmowej aplikacji, potwierdza oryginalność bezpiecznego elementu.
Ona nie wykrywa fizycznych modyfikacji sprzętu, i to również przyznaje producent. Czyli „weryfikacja przeszła” nie oznacza „urządzenia nikt nie rozbierał”.
Jak rozpoznać podróbkę przy zakupie
Pierwsza oznaka to jakikolwiek gotowy sekret wewnątrz pudełka. Karta ze słowami, naklejka z PIN-em, kartka „twój adres do zasilenia”. Prawdziwe urządzenie przychodzi puste, a pierwszy ekran, który widzisz, proponuje utworzenie portfela albo odtworzenie własnego.
Druga oznaka to presja na kolejność działań. Podrobiona instrukcja prosi, by najpierw zasilić adres, a dopiero potem zająć się ustawieniami, albo prowadzi aktywację przez zewnętrzną stronę, której adres trzeba wpisać ręcznie. Firmową aplikację pobiera się z oficjalnej domeny i żadnych pośrednich portali na tej drodze nie ma.
Trzecia to plomby i folia, na których akurat nie warto się opierać. Naklejkę odtworzyć jest tanio, a folię termokurczliwą sprzedaje się w rolkach. Właśnie dlatego producent w swoich materiałach przenosi weryfikację z opakowania na urządzenie: znaczenie ma nie nienaruszone pudełko, lecz to, że urządzenie prosi o utworzenie sekretu przy tobie.
Czwarta to rozbieżności w drobiazgach. Inny krój pisma na materiałach drukowanych, odnośnik do domeny łudząco podobnej do oficjalnej, zawartość zestawu, której nie ma na stronie producenta. Każdy drobiazg z osobna niczego nie dowodzi, ale daje powód, by nie spieszyć się z zasileniem.
Dlaczego pośrednik jest groźniejszy niż najtańsze urządzenie
Bo ryzyko jest tu innej natury. Tani model oszczędza na ekranie, liczbie obsługiwanych sieci i wygodzie, ale sekret generujesz w nim ty, na pustym urządzeniu, i nikt inny tych słów nie widzi.
Urządzenie od pośrednika może być idealnym sprzętem z cudzym sekretem w środku. Pieniądze znikają nie dlatego, że coś się zepsuło, lecz dlatego, że zasilasz adres, do którego klucz ma już inna osoba. Błąd wychodzi na jaw w chwili, gdy nie ma już czego odzyskiwać.
Różnica w skutkach czyni to porównanie nierównym. Oszczędność na modelu kosztuje cię część wygody. Oszczędność na źródle zakupu może kosztować całe saldo, i okaże się to nie od razu, lecz po pierwszym dużym zasileniu.
Praktyczny wniosek jest prosty. Urządzenie kupuje się u producenta albo u jego oficjalnego partnera, a nie z drugiej ręki, nie z ogłoszenia i nie z odnośnika w reklamie.
Frazę seed generuje się samodzielnie, na nowym urządzeniu, i zapisuje tak, jak opisano w materiale o przechowywaniu frazy seed. Każdą frazę, która trafiła do ciebie gotowa, uznaje się za cudzą.
Phishing pod postacią wsparcia: teraz także na papierze
Ten sposób żywi się wyciekami baz adresowych i nie wymaga żadnej podatności technicznej. Schemat jest stary: list albo wiadomość od „wsparcia”, pilny powód, odnośnik do klonu strony, pole do wpisania dwunastu lub dwudziestu czterech słów.
Ani Ledger, ani Trezor nigdy i w żadnych okolicznościach nie proszą o frazę seed. To reguła bez wyjątków, niezależna od tego, jak przekonująco wygląda wiadomość.
Nowy jest tu kanał. W 2025 roku do właścicieli rozsyłano papierowe listy na oficjalnym papierze firmowym, z kodem QR prowadzącym do kopii strony z prośbą o wpisanie słów.
Papierowy list omija wszystkie nawyki ostrożności wypracowane przy poczcie elektronicznej: nie ma go w spamie, nie ma podejrzanej domeny nadawcy, leży fizycznie w skrzynce pod twoim adresem. Właśnie dlatego działa.
Cecha wspólna wszystkich wariantów jest jedna: pilność. „Twoje urządzenie zostało skompromitowane”, „konieczna jest pilna migracja”, „zaktualizuj kopię zapasową do jutra”. Pośpiech jest potrzebny po to, żebyś nie zdążył przypomnieć sobie reguły. Źródła: BleepingComputer i tracker kampanii phishingowych samego Ledgera.
Ledger Recover: spór nie dotyczył włamania
W maju 2023 roku firma ogłosiła płatną subskrypcję na chmurową kopię zapasową frazy seed. Skandal wywołał nie sam serwis, lecz wyjaśnienie wsparcia: technicznie zawsze było możliwe napisanie oprogramowania układowego, które wyciągnie klucz z urządzenia. To przeczyło wieloletniej obietnicy, że klucz nigdy nie opuszcza urządzenia.
Start odłożono 23 maja 2023 roku, serwis mimo wszystko ruszył 24 października 2023 roku, jako opcjonalny, z zaszyfrowanymi fragmentami klucza przechowywanymi u trzech firm. Źródła: CoinDesk (18 i 19 maja 2023) oraz CryptoSlate (24 października 2023).
Wniosek z tej historii nie brzmi „Ledger został zhakowany”. Ledger nie został zhakowany. Wniosek jest taki, że model zaufania okazał się inny, niż sądził kupujący.
Człowiek sądził, że kupuje urządzenie, które fizycznie nie może oddać klucza. W rzeczywistości kupował urządzenie, które nie oddaje klucza, dopóki producent wydaje oprogramowanie układowe, które tego nie robi.
Różnica między „niemożliwe” a „obecnie się tak nie robi” to właśnie to, za co warto zapłacić uwagą przy wyborze zimnego portfela.
Ryzyko uboczne: twój adres domowy w bazie, która wyciekła dwa razy
Zakup sprzętu to przekazanie danych osobowych sklepowi. W 2020 roku baza marketingowa Ledgera została skompromitowana: około 1,1 mln adresów e-mail i 272 000 rekordów z imionami, telefonami i adresami domowymi. Dane opublikowano publicznie.
Środki i urządzenia nie ucierpiały, ale zaczęła się fala phishingu, wymuszeń i papierowych listów z żądaniem okupu.
W styczniu 2026 roku doszło do wycieku u partnera płatniczego Global-e: imiona, adresy, poczta, telefony, szczegóły zamówień. Liczby poszkodowanych nie ujawniono. Źródła: oświadczenia Ledgera, HIBP, BleepingComputer, CoinDesk (5 stycznia 2026).
To nie kwestia jakości urządzenia. To uboczne ryzyko zakupu, którego producent w specyfikacji nie podaje: twój adres domowy wraz z faktem posiadania kryptowaluty trafia do bazy, która wyciekła już dwa razy. Stąd też papierowe listy z 2025 roku, przychodzą one nie do przypadkowych osób.
Co z tego wynika
Sprzęt zamyka jedno zadanie i zamyka je dobrze: klucz nie opuszcza układu. Cała reszta zostaje po twojej stronie.
Ślepy podpis to nawyk czytania ekranu i niepotwierdzania tego, czego się nie rozumie. Podrobione pudełko to zakup u producenta i samodzielne wygenerowanie frazy. Phishing to reguła, by nie wpisywać frazy nigdzie poza ekranem odtwarzania własnego portfela.
I jeszcze raz najważniejsze: żadnej z tych trzech dziur nie zamyka droższy model. Zamyka je to, co robisz własnymi rękami.
